Google dorking : la technique des hackers pour tout trouver

Un jour, un client m'appelle, paniqué. Sa société de courtage venait de recevoir un email d'un inconnu : « Bonjour, votre fichier clients est accessible à cette adresse. Vous avez 72 heures. » Le lien pointait vers... un simple résultat de recherche Google. Pas de hacking, pas de faille serveur, pas d'exploit à trois étages. Juste quelqu'un qui avait tapé la bonne combinaison d'opérateurs, et trouvé un PDF oublié là depuis des années.

Cette technique porte un nom : le google dorking. Vous en avez peut-être entendu parler comme d'un truc de hacker, un peu mystérieux. La réalité est plus banale, et franchement plus utile pour n'importe qui gère un site, une boutique en ligne ou un peu de données clients.

Le google dorking, c'est quoi exactement ?

Le principe tient en une phrase : utiliser les opérateurs de recherche avancée pour trouver ce que la recherche normale ne montre pas. Google indexe beaucoup plus de choses qu'on ne le croit. Des vieux fichiers Excel, des dumps de bases, des pages d'administration oubliées, des documents PDF que quelqu'un a mis en ligne « temporairement » en 2019 et qui y sont toujours.

Ces combinaisons d'opérateurs s'appellent des dorks (ou google dorks, si vous croisez le terme au pluriel). Le nom vient de l'époque où la technique servait surtout à fouiller les recoins sombres de l'index. On parle aussi de « Google Hacking », parce que le résultat ressemble à du piratage. Dans les faits, il n'y a aucun piratage : vous ne forcez aucune porte, vous lisez ce que Google a déjà rangé sur son étagère.

Pourquoi le sujet est rattaché à l'OSINT

L'OSINT, c'est le renseignement en sources ouvertes. On collecte de l'information accessible publiquement, légalement, sans rien casser. Le google dorking est l'une des premières choses qu'on apprend dans ce domaine, parce qu'il coûte zéro euro et donne souvent des résultats en quelques secondes. Une adresse email qui traîne dans un PDF, un organigramme complet, un sous-domaine non documenté — tout ça, c'est du renseignement gratuit pour qui sait demander.

Comment utiliser le google dorking (méthode pas à pas)

Je vais vous donner ma méthode. Elle n'a rien de magique, mais elle évite de partir dans tous les sens et de perdre deux heures à cliquer sur des faux positifs.

Étape 1 : définir ce qu'on cherche

Avant de taper quoi que ce soit, écrivez en clair la question. « Est-ce que des fichiers de configuration de ce site sont exposés ? » « Est-ce que des identifiants traînent dans un document ? » « Est-ce que des pages d'admin sont indexées ? » C'est bête, mais 80 % des gens sautent cette étape et tapent des dorks au hasard.

Étape 2 : cibler le domaine

Le premier réflexe, c'est site:. Il limite la recherche à un domaine précis. site:monsite.fr ne remontera que les pages de monsite.fr. C'est aussi la façon la plus propre de faire de la reconnaissance sur son propre site — ce que je recommande de faire une fois par trimestre, tranquillement.

Étape 3 : filtrer par type de fichier

C'est l'opérateur qui fait vraiment la différence. filetype:pdf, filetype:xlsx, filetype:env, filetype:sql — chacun ouvre un monde. Un exemple que j'ai vu dans la vraie vie : site:une-pme.fr filetype:xlsx a fait remonter un tableau de chiffre d'affaires détaillé par client, mis en ligne par un stagiaire pour « partager avec l'équipe ». Il était indexé depuis huit mois.

Étape 4 : croiser les opérateurs

Un seul opérateur donne souvent trop de bruit. On les empile. Par exemple :

• intitle:index.of — repère les répertoires ouverts
• inurl:admin — cherche « admin » dans l'URL
• intext:"mot de passe" — fouille le contenu de la page
• et une combinaison qui m'a servi plus d'une fois : site:cible.fr intitle:index.of

Étape 5 : valider, tôt, sans toucher

Quand quelque chose remonte, on ne clique pas n'importe comment. On regarde l'extrait de résultat, on note le type de fichier, l'extension de l'URL, la date affichée. On n'ouvre pas un fichier qui semble contenir des identifiants d'autrui. On se contente de constater que ce qui ne devrait pas être indexé l'est. C'est tout ce qu'il faut pour déclencher la suite.

Étape 6 : documenter et remédier

Cette dernière étape fait toute la différence entre un hacker du dimanche et quelqu'un de sérieux. On note : URL, date de découverte, ce qui est exposé, le niveau de gravité estimé. Puis on agit — suppression du fichier, correction du robots.txt, ajout d'une balise noindex, demande de dé-indexation à Google.

Les commandes google dorking qui fonctionnent encore

Google fait le ménage régulièrement. Certains opérateurs qu'on trouvait dans les vieux PDF de 2015 ne répondent plus. Voici ceux qui restent utiles aujourd'hui, avec leur syntaxe exacte.

Opérateur	Ce qu'il fait	Exemple
filetype:	Restreint à une extension	filetype:pdf mots de passe
intitle:	Cherche dans le titre de la page	intitle:index.of
inurl:	Cherche dans l'URL	inurl:login
intext:	Cherche dans le corps de la page	intext:"mot de passe oublié"
site:	Limite à un domaine ou sous-domaine	site:exemple.fr
cache:	Version en cache (rarement utile aujourd'hui)	cache:exemple.fr
related:	Sites similaires	related:exemple.fr

Deux choses importantes. D'abord, les guillemets autour d'une expression forcent la recherche exacte — "mot de passe" ne donnera pas les pages qui contiennent « mot » puis « passe ». Ensuite, l'opérateur - exclut un terme : site:exemple.fr -inurl:blog retire tout ce qui contient « blog » dans l'URL. Ça paraît anodin, ça évite de noyer les résultats.

Est-ce que c'est légal, le google dorking ?

Voilà la question qu'on me pose à chaque fois, et à laquelle je réponds toujours la même chose : la recherche elle-même est légale, l'usage des données trouvées ne l'est pas forcément.

Faire une requête sur Google, c'est une action publique. Vous ne contournez aucun contrôle d'accès, vous ne forcez aucun mot de passe. Le simple fait de voir qu'un fichier est indexé n'est pas, en soi, une infraction.

Le virage se joue après. Télécharger un fichier client qui ne vous appartient pas, l'ouvrir, exploiter les données qu'il contient, contacter les personnes listées : là, on bascule. En France, la collecte et le traitement de données personnelles sans base légale tombent sous le RGPD. L'accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni par le code pénal, et la jurisprudence ne s'arrête pas à la question « mais le fichier était public sur Google ».

Donc ma règle personnelle, celle que je répète à mes clients :

• Faire des dorks sur votre propre domaine : oui, sans hésiter, c'est même recommandé.
• Faire des dorks sur le domaine d'un tiers sans mandat écrit : non.
• Ouvrir un fichier qui ne vous est pas destiné : non, jamais, même « juste pour voir ».
• Signaler la fuite au propriétaire par un canal raisonnable : oui, c'est ce qu'un pro fait.

Que faire quand on découvre une fuite ?

Ça m'est arrivé deux fois de tomber sur des données sensibles d'entreprises tierces, en travaillant sur autre chose. La première fois, j'ai contacté le dirigeant par LinkedIn, en expliquant en trois lignes ce que j'avais vu et comment le reproduire. Réponse en 48 heures, fichier retiré, remerciements. La deuxième fois, aucune réponse. J'ai laissé tomber — pas d'escalade, pas de relance. On ne s'acharne pas.

La procédure propre ressemble à ça : documenter sans télécharger, contacter le propriétaire par un canal qui ne prête pas à confusion, donner assez d'information pour qu'il puisse vérifier lui-même, ne rien publier, ne rien stocker. La divulgation responsable n'est pas une posture, c'est un protocole. Un chercheur sérieux n'envoie pas un email « j'ai trouvé votre faille, payez-moi ».

Et si la fuite concerne des données personnelles de tiers ?

Dans ce cas, la meilleure option est souvent de prévenir directement l'organisme concerné et, si la fuite est manifeste et importante, la CNIL. Vous n'êtes pas obligé de mener l'enquête vous-même. Signaler, c'est déjà agir.

Le google dorking comme outil de défense

Franchement, c'est là que la technique rend le plus service. La plupart des petites structures pensent que leur site est propre parce que personne ne s'en occupe. Erreur. Google, lui, s'en occupe très bien, et il indexe tout ce qu'il trouve sans se poser de questions.

Une fois par trimestre, je bloque une demi-heure pour passer mes propres domaines au crible. Les dorks que je lance systématiquement :

1. site:mondomaine.fr filetype:pdf — pour repérer les PDF oubliés
2. site:mondomaine.fr filetype:xlsx OR filetype:csv — les exports de données
3. site:mondomaine.fr intitle:index.of — les répertoires ouverts
4. site:mondomaine.fr inurl:admin OR inurl:login — les pages d'administration visibles
5. site:mondomaine.fr intext:"confidentiel" OR intext:"interne" — les documents marqués internes qui ne le sont plus

La dernière fois, sur le site d'une boutique que je suivais, ça a remonté trois vieux exports de commandes clients, dont un avec les adresses postales complètes. Le tout indexé depuis plus d'un an. Le gérant n'en avait aucune idée. Deux heures de nettoyage plus tard, tout était dé-indexé. Sans cette vérification, ça y serait encore.

Les pièges dans lesquels je suis tombé

Je vais être honnête : au début, j'ai fait n'importe quoi.

Première erreur, la plus bête : j'ai cru que « plus d'opérateurs = mieux ». Je construisais des requêtes de quinze termes qui ne remontaient rien du tout, parce que Google interprétait tout de travers. La bonne requête est courte. Trois opérateurs bien choisis battent dix opérateurs empilés.

Deuxième erreur : j'ai ouvert un fichier que j'aurais dû laisser fermé. Rien de grave, c'était un vieux catalogue commercial d'une entreprise dont je testais la sécurité sans mandat. Mais je me suis senti mal. C'est ce jour-là que j'ai compris que la frontière entre curiosité et indiscrétion se franchit en un clic.

Troisième erreur : je me suis fié à de vieux PDF « google dork list » trouvés en ligne, qui listaient des dizaines d'opérateurs dont la moitié ne fonctionne plus. Google retire des opérateurs régulièrement, et beaucoup de listes circulent encore avec des reliques. Le meilleur test, c'est de faire la requête et de regarder si ça répond.

Faut-il apprendre le dorking en labo avant de toucher au réel ?

Oui, mille fois oui. Et c'est là que les environnements d'entraînement type TryHackMe ou HackTheBox jouent leur rôle. On y trouve des cibles volontairement vulnérables, conçues pour qu'on s'exerce sans rien casser chez personne. On tape des dorks, on voit ce qui remonte, on apprend à lire un résultat proprement — sans la moindre question juridique ni éthique à se poser.

J'ai commencé comme ça. Mon premier « vrai » dork, je l'ai tapé sur une machine d'entraînement, pas sur le site d'un inconnu. Le réflexe qu'on prend là — chercher, constater, ne pas exploiter — c'est celui qui reste. Et franchement, c'est celui qui sépare quelqu'un qui apprend la sécurité de quelqu'un qui va avoir des ennuis.

Un dernier point, et il compte : le google dorking ne fait pas de vous un hacker. Il fait de vous quelqu'un qui sait regarder. C'est déjà énorme, à condition d'accepter de regarder sans toucher.