Google dorking : le guide ultime pour maîtriser la recherche avancée sur Google

Google Dorking : la porte d'entrée oubliée de votre sécurité

Vous avez probablement déjà utilisé un opérateur de recherche sans le savoir. Un `site:` par-ci, un `filetype:` par-là. Ce que vous ne savez peut-être pas, c'est que ces combinaisons de caractères sont une arme à double tranchant. Et les attaquants, eux, les connaissent par cœur.

J'ai passé des années à auditer des systèmes d'information, et je peux vous dire une chose : la plupart des entreprises que j'ai testées avaient au moins un fichier sensible exposé via une simple requête Google. Pas une faille exotique. Pas un exploit complexe. Une simple requête bien formulée.

Le Google Dorking, c'est l'art de transformer un moteur de recherche en outil de reconnaissance. Et franchement, c'est à la fois fascinant et terrifiant.

Les opérateurs qui changent tout

Quand on parle de Google Dorking, on parle d'abord d'opérateurs. En voici une liste que j'utilise quotidiennement dans mes audits. Pas besoin de tous les mémoriser, mais les premiers sont vraiment indispensables.

• site: — restreint les résultats à un domaine ou une sous-partie. site:monsite.fr
• filetype: — filtre par type de fichier. filetype:pdf, filetype:sql, filetype:env
• inurl: — cherche un mot-clé dans l'URL. inurl:admin, inurl:config
• intitle: — cherche un mot-clé dans le titre de la page. intitle:index of
• intext: — cherche un mot-clé dans le contenu de la page. intext:password
• cache: — affiche la version en cache d'une page, parfois plus ancienne et moins protégée. cache:monsite.fr/page
• link: — liste les pages qui pointent vers une URL donnée. link:monsite.fr
• related: — trouve des sites similaires. related:monsite.fr
• Opérateurs booléens — AND, OR, NOT (ou le tiret - pour exclure).

Le point clé que beaucoup de gens ratent : ces opérateurs se combinent. C'est là que la puissance opérationnelle apparaît. Une requête comme site:monsite.fr filetype:env est infiniment plus intéressante qu'un simple filetype:env sans cible.

Exemples de combinaisons prêtes à l'emploi

Voici quelques dorks que j'ai utilisés lors d'audits réels. Attention, ces exemples sont donnés dans un but pédagogique et défensif. Les utiliser sur des systèmes qui ne vous appartiennent pas est illégal.

• site:monsite.fr inurl:admin — pour trouver les interfaces d'administration exposées.
• site:monsite.fr filetype:log — les fichiers logs peuvent contenir des informations sensibles.
• site:monsite.fr filetype:sql — les exports de bases de données, une catastrophe si indexés.
• site:monsite.fr intext:"mot de passe" — chercher des mots-clés révélateurs dans le contenu.
• inurl:phpMyAdmin — détecter des interfaces de gestion de bases de données accessibles publiquement.

Sur un de mes projets, une simple requête filetype:env sur le domaine d'un client m'a permis de trouver les identifiants de connexion à leur base de production. Le fichier avait été laissé sur le serveur par un développeur pressé, et Google l'avait indexé. Le correctif a pris 48 heures. La découverte, 30 secondes.

Faut-il un outil pour faire du dorking ? Non

C'est une question qu'on me pose souvent. La réponse courte : non. Le Google Dorking se fait avec le moteur de recherche, un navigateur et un peu de méthode.

Il existe des outils qui automatisent les requêtes, avec des interfaces graphiques ou des listes de dorks pré-remplies. Je les ai tous testés, et franchement, ils ont un problème de taille : ils vous donnent des résultats sans contexte. Vous lancez 500 requêtes, vous obtenez 500 listes de résultats, et vous passez des heures à trier ce qui est pertinent de ce qui ne l'est pas.

La méthode que je recommande est plus manuelle, mais plus efficace : construire des requêtes ciblées à partir de votre connaissance du système que vous auditez. Vous savez que votre client utilise un CMS spécifique ? Cherchez les fichiers de configuration de ce CMS. Vous savez que l'équipe utilise des sauvegardes hebdomadaires ? Cherchez les fichiers d'archive par type et par date.

Pourquoi les fichiers PDF et documents sont des cibles privilégiées

Les fichiers PDF, Excel, Word et autres documents sont des cibles de choix pour une raison simple : ils sont souvent indexés par défaut et contiennent des informations que les pages HTML ne révèlent pas.

La requête filetype:pdf est un classique. Sur les sites d'entreprises, elle remonte des rapports internes, des organigrammes, des plannings de maintenance. J'ai déjà vu des PDF contenant des mots de passe d'application, des clés API et des schémas d'infrastructure. Le tout, accessible via une recherche publique.

Le problème n'est pas Google. Le problème est la culture de l'exposition : trop d'entreprises ne pensent pas à vérifier ce qui est indexé sur leur domaine. Elles mettent en place des pare-feu, des antivirus, des solutions de détection d'intrusion, mais laissent une porte ouverte sur leur propre site web.

Le cadre légal : ce que personne ne vous dit clairement

Le Google Dorking est un outil. Comme tout outil, son usage peut être légitime ou non. Et c'est là que beaucoup de monde se trompe.

Utiliser un dork pour trouver des informations publiquement accessibles, dans un cadre de recherche, d'OSINT ou de test de sécurité autorisé, est légal. C'est la partie défensive, celle que j'encourage.

En revanche, utiliser un dork pour trouver un fichier, y accéder sans autorisation, ou récupérer des données qui n'étaient pas destinées au public, même si elles sont indexées, est illégal. Le simple fait que Google ait indexé un fichier ne signifie pas que vous avez le droit de le consulter ou de l'utiliser.

La frontière est subtile, et je comprends qu'elle puisse prêter à confusion. Voici comment je la résume : si vous utilisez un dork pour vérifier que vos propres systèmes sont exposés, ou pour tester un système qui vous a explicitement autorisé à le faire, vous êtes dans le cadre légal. Si vous utilisez un dork pour explorer un système qui ne vous appartient pas, dans le but de récupérer des données, vous êtes hors-la-loi.

Un exemple d'usage défensif concret

Il y a quelques mois, un client m'a contacté après une alerte d'un de ses collaborateurs. Ce collaborateur avait tapé le nom de son entreprise dans Google, par curiosité, et était tombé sur un fichier Excel contenant les salaires de tous les employés. Catastrophe totale.

L'alerte a été déclenchée par hasard, mais elle aurait pu être évitée. Avec une simple requête site:monsite.fr filetype:xlsx, nous avons identifié une trentaine de fichiers sensibles exposés. Des exports comptables, des tableaux de suivi RH, des listes de clients. Tout était indexé et consultable par n'importe qui.

Nous avons corrigé l'exposition en quelques jours, mais l'incident a eu un vrai coût : des heures de travail, une communication de crise interne, et une réflexion sérieuse sur les habitudes de publication des équipes.

Les limites du dorking et les contre-mesures efficaces

Le Google Dorking n'est pas une baguette magique. Il a des limites. Et les comprendre vous aide à vous protéger.

Google n'indexe pas tout. Les moteurs de recherche ont leurs propres règles, et certaines pages sont exclues de l'index pour diverses raisons. Les contenus derrière une authentification ne sont, en règle générale, pas indexés. Les contenus avec une balise noindex sont également exclus.

C'est là que se trouve la première ligne de défense : authentification et exclusion explicite. Si une page nécessite une connexion, elle est invisible pour les moteurs de recherche. Si un fichier est marqué noindex, il ne remontera pas dans les résultats.

Le fichier robots.txt joue aussi un rôle, mais il est souvent mal compris. Il ne protège pas vos fichiers, il les signale aux moteurs de recherche. Un fichier robots.txt indique à Google : "ne parcours pas cette partie du site". C'est une instruction, pas une barrière. Les attaquants qui utilisent le dorking le savent, et ils ne sont pas tenus de la respecter.

La vraie protection, c'est de réfléchir à ce que vous publiez avant de le publier. Un fichier sensible dans un répertoire public est exposé, que Google l'indexe ou non. La bonne pratique, c'est de ne jamais mettre un fichier sensible dans un répertoire accessible sans authentification, quel que soit le fichier robots.txt.

L'évolution des moteurs et l'actualité des dorks

Le paysage du dorking a changé depuis ses débuts. Les moteurs de recherche ont amélioré leurs algorithmes, et certaines requêtes qui fonctionnaient très bien il y a dix ans ne donnent plus rien aujourd'hui.

Google, notamment, a durci son indexation. Les interfaces d'administration sont moins souvent indexées, les fichiers de configuration plus rarement exposés. Mais les attaquants s'adaptent, et les défenseurs doivent suivre.

Aujourd'hui, je passe presque autant de temps sur Bing et sur Shodan que sur Google. Shodan, en particulier, est devenu un outil essentiel pour comprendre l'exposition des serveurs : il indexe les bannières de services, les certificats SSL, les ports ouverts. Si Google Dorking cherche dans le contenu web, Shodan cherche dans l'infrastructure.

Une chose n'a pas changé : la surveillance proactive reste la clé. Un audit régulier de votre domaine, avec des requêtes ciblées sur vos propres serveurs, vous permet de détecter les expositions avant que quelqu'un d'autre ne les trouve.

Ce qu'il faut retenir du Google Dorking

Le Google Dorking n'est pas un gadget de hacker, ni une technique obscure. C'est un outil de recherche, puissant et précis, qui révèle ce que les sites web exposent sans le savoir.

La prochaine fois que vous publierez un fichier sur votre site, posez-vous la question : est-ce que je serais à l'aise si ce fichier était visible par tout le monde ? Parce que, techniquement, c'est le cas. Google l'a peut-être déjà indexé. Un attaquant l'a peut-être déjà trouvé.

Une dernière chose. J'ai vu trop de crises de sécurité éviterables de justesse. Trop de fichiers Excel contenant des données personnelles, trop de fichiers de configuration avec des identifiants en clair. Dans la majorité des cas, personne n'a eu besoin d'exploiter une faille complexe. Une simple requête Google a suffi.

Alors, prenez une heure. Lancez quelques dorks sur votre propre domaine. Vous serez peut-être surpris de ce que vous trouverez. Et si vous ne trouvez rien, tant mieux. Mais vous aurez vérifié, et c'est déjà un pas immense.