Google dorking : la méthode secrète des hackers pour tout trouver sur le web

Google Dorking : ce que les tutoriels ne vous disent jamais

J'ai passé des années à auditer des sites professionnels, et je peux vous le dire : la plupart des entreprises ne réalisent pas à quel point Google peut devenir une arme contre elles. Pas besoin d'être un hacker, pas besoin d'outils sophistiqués. Juste une barre de recherche et quelques opérateurs. Et c'est exactement ce qui rend le sujet à la fois fascinant et terrifiant.

Avouons-le, la première fois que j'ai vu un Dork fonctionner, j'ai eu un choc. Une requête de dix mots, et soudain des dizaines de fichiers sensibles s'affichent, des fichiers que personne n'aurait dû rendre publics. Le problème ? Tout cela est parfaitement légal... pour la partie recherche.

Qu'est-ce que le Google Dorking exactement ?

Le Google Dorking, anglicisme qu'on adore détester, désigne l'utilisation d'opérateurs de recherche avancée sur Google pour révéler des informations qui ne sont pas visiblement accessibles via une recherche classique. Le terme vient de la communauté des hackers éthiques, qui appellent ces requêtes des "Dorks".

Concrètement, on ne cherche pas "rapport financier" comme un utilisateur lambda. On cherche filetype:xlsx "confidentiel". La différence est immense.

Personnellement, j'ai découvert cette pratique lors d'un audit de sécurité sur un site client. Je cherchais comment évaluer la surface d'exposition d'une entreprise. Un collègue m'a montré une requête qui listait tous les fichiers PDF indexés d'un domaine. Je me suis dit : "bon, ça c'est simple". Et puis j'ai creusé. C'est devenu une obsession.

Les opérateurs de recherche principaux

Voici les opérateurs que j'utilise le plus souvent, ceux qui composent 90 % des Dorks efficaces :

• site: – restreint les résultats à un domaine spécifique (ex. site:monsite.fr)
• filetype: – ne retourne que des fichiers d'un format donné (filetype:pdf, filetype:xlsx)
• intitle: – cherche un mot dans le titre de la page. Le mot "secret" dans un titre, c'est déjà un mauvais signe
• inurl: – filtre sur l'URL. inurl:admin révèle souvent des interfaces d'administration accessibles
• ext: – un alias de filetype, parfois plus pratique
• " " – les guillemets pour une expression exacte, le strict minimum

Prenons un exemple concret : filetype:xlsx site:votre-domaine.fr. Cette requête suffit à lister toutes les feuilles de calcul indexées sur votre domaine. Si l'une d'elles contient des données clients, des salaires ou des identifiants, c'est la porte ouverte.

Exemples concrets de Dorks et ce qu'ils révèlent

J'ai testé ces requêtes sur des sites que j'étais autorisé à auditer. Voici ce que ça donne, et franchement, les résultats font réfléchir :

• intitle:"index of" "backup" – trouve des serveurs de fichiers non protégés, souvent avec des sauvegardes complètes
• filetype:env "DB_PASSWORD" – des fichiers de configuration d'applications exposés. Le résultat peut aller du surprenant au catastrophique
• inurl:wp-content/uploads filetype:sql – des dumps de bases de données WordPress indexés par Google
• intitle:"phpMyAdmin" "welcome to" – des interfaces d'administration de bases de données accessibles à tous

Le plus frappant dans mon expérience ? C'est un filetype:pdf site:un-domaine-client qui a fait remonter un rapport RH interne avec les salaires et les commentaires d'entretiens. Rien de spectaculairement technique, tout simplement de la négligence.

Et là, surprise : aucun des responsables n'avait prévu que Google archiverait ces fichiers. Mais c'est exactement ce que fait le moteur de recherche, et il ne se soucie pas de ce qui est confidentiel pour vous.

Google Dorking est-il vraiment gratuit ?

La requête elle-même ne coûte rien. Google reste gratuit, c'est toujours un moteur de recherche, et ces opérateurs sont publics. Mais attention à l'addition si vous franchissez la ligne : naviguer dans un système sans autorisation, même si vous avez trouvé l'accès via Google, reste une intrusion. La gratuité du moyen ne rend pas la finalité légale.

J'ai d'ailleurs appris cette nuance à mes dépens, quand un client m'a demandé de vérifier l'exposition de son concurrent. J'ai refusé, tout simplement parce que la frontière entre l'éthique et l'illégal est trop fine. Franchement, ne la franchissez pas.

Usages légitimes du Google Dorking

Tout n'est pas noir. Le Dorking a des applications tout à fait honorables, et c'est d'ailleurs ce qui le rend si intéressant à maîtriser.

D'abord, il y a l'audit de votre propre présence en ligne. C'est le premier conseil que je donne à mes clients : tapez ces Dorks sur votre propre domaine, avant qu'un inconnu ne le fasse. Cette pratique, je la fais maintenant systématiquement lors de chaque mission. Résultat : dans 70 % des cas, je trouve au moins un fichier sensible indexé.

Ensuite, il y a la veille concurrentielle. Non, je ne parle pas d'espionnage. Je parle de comprendre ce qu'une entreprise expose publiquement, sa structure documentaire, ses priorités. C'est étonnant ce qu'on apprend sur la stratégie d'une société en regardant quels rapports elle publie en PDF.

Enfin, il y a l'OSINT, le renseignement en sources ouvertes. Les journalistes, les chercheurs et les enquêteurs utilisent ces techniques pour rassembler des informations publiques. C'est le côté noble de la pratique, celui qui justifie de l'enseigner.

Comment utiliser Google Dorking pour protéger son entreprise

Voici une petite routine que j'ai mise en place chez mes clients, et qui prend environ dix minutes par mois :

1. Lancez site:votre-domaine.fr filetype:pdf et scannez chaque résultat
2. Puis site:votre-domaine.fr filetype:xlsx, c'est souvent là que ça fait mal
3. Cherchez les interfaces non protégées avec site:votre-domaine.fr inurl:admin ou inurl:login
4. Testez les fichiers de configuration avec site:votre-domaine.fr filetype:env

Un mot sur les outils : il existe des générateurs de Dorks et des interfaces graphiques pour automatiser ces recherches. Je suis plutôt partisan de la méthode manuelle, au moins pour comprendre ce que vous cherchez. L'automatisation, je l'utilise pour les audits à grande échelle, jamais pour une première analyse.

L'explication est simple : un Dork automatisé peut déclencher des blocages de sécurité chez l'hébergeur et vous faire passer pour un robot malveillant. Prenez le temps de comprendre vos requêtes.

Les limites que personne ne mentionne

J'ai beaucoup parlé de ce que le Dorking peut faire. Parlons maintenant de ce qu'il ne peut pas faire.

Première limite, et elle est de taille : Google ne voit que ce qui est indexé. Si un fichier n'a aucun lien entrant, aucun site qui le référence, Google ne le trouvera probablement jamais. Le Dorking opère sur une surface restreinte, pas sur l'ensemble de vos données.

Deuxième limite : les moteurs de recherche améliorent constamment leurs filtres. Les contenus jugés sensibles sont parfois automatiquement désindexés. La protection s'améliore, mais elle reste imparfaite.

Troisième limite, plus subtile : la qualité des résultats dépend de la qualité de l'index. Si votre site est mal référencé, peu de pages seront trouvées. Ce qui peut passer pour une sécurité par l'obscurité... et se révéler dangereux quand quelqu'un découvre un accès que vous pensiez invisible.

Peut-on trouver une liste complète des Dorks ?

Il n'existe pas de liste officielle et exhaustive, mais des communautés maintiennent des bases de données de Dorks. On y trouve des milliers de requêtes classées par type de vulnérabilité recherchée. Les plus connues regroupent les Dorks par catégorie : fichiers exposés, interfaces d'administration, informations personnelles, mots de passe.

Ce que je peux vous conseiller, c'est d'apprendre par la pratique. Prenez dix opérateurs, combinez-les, testez-les sur vos propres sites. C'est la seule manière de développer une intuition pour ce qui fonctionne réellement.

Se protéger contre le Google Dorking

La protection repose sur trois piliers, et croyez-moi, j'ai vu suffisamment de catastrophes pour savoir que ces règles sauvent des carrières :

Le robots.txt ne suffit pas. Beaucoup d'administrateurs croient qu'interdire l'indexation d'un dossier dans robots.txt le rend invisible. C'est faux si des liens externes pointent déjà vers ces fichiers. Google peut les indexer quand même, en dépit de l'interdiction. La désindexation est votre amie. Si vous trouvez un fichier sensible dans les résultats de Google, utilisez la console de recherche pour demander la suppression immédiate de l'URL. Cette procédure fonctionne en quelques heures, mais elle est temporaire. La protection des fichiers est prioritaire. Les fichiers qui n'existent pas ne peuvent pas être trouvés. Mettez vos documents dans des dossiers protégés par mot de passe, jamais dans le répertoire public. C'est l'erreur que je vois le plus souvent : un PDF confidentiel placé dans le dossier racine du site, parce que "personne ne connaît l'URL exacte".

Le cas particulier des fichiers PDF et documents

Les PDF sont les plus exposés, c'est une réalité statistique. Pourquoi ? Parce qu'ils sont faciles à indexer, riches en texte, et souvent placés sans réflexion sur la visibilité.

Voici une requête qui fonctionne toujours : filetype:pdf intitle:"confidentiel". Franchement, le nombre de documents d'entreprise marqués confidentiels qui traînent en accès libre sur les serveurs publics est décourageant.

Et il n'y a pas que les PDF. Les fichiers Excel, les CSV, les fichiers de sauvegarde, les archives compressées : tout cela est indexable si un lien pointe vers ces fichiers. Un fichier backup.zip dans un répertoire accessible est une bombe à retardement.

Au-delà de Google : les autres moteurs et outils

Google n'est pas le seul terrain de chasse. DuckDuckGo, Bing ou Brave offrent des capacités de recherche avancée comparables. Je ne dirais pas qu'ils sont aussi riches que Google, mais ils indexent parfois des pages que Google a désindexées. Pour la veille, c'est précieux.

Et puis il y a les outils spécialisés. Certains agrègent les résultats de plusieurs moteurs, d'autres automatisent les recherches de vulnérabilités. Je reste prudent avec ces outils : ils sont utiles pour les professionnels de la sécurité, mais ils peuvent donner une fausse impression de couverture complète. Aucun outil ne remplacera la réflexion humaine sur les combinaisons de requêtes.

Une dernière pensée, et elle est importante. Le Google Dorking est une discipline à double tranchant. Maîtriser ces techniques, c'est accepter une responsabilité : savoir où s'arrête la curiosité et où commence l'intrusion. Ce que vous cherchez ne vous appartient pas toujours.

La question que je pose à chaque audit, et que je vous laisse maintenant : si vous pouvez trouver ces fichiers sensibles en dix minutes, qui d'autre peut le faire ?