Vous tapez une requête sur Google. Au milieu des résultats, vous voyez apparaître un PDF qui n'aurait jamais dû être public. Un annuaire interne. Une liste de mots de passe. Personne ne vous a donné ce lien : Google l'a fait à votre place. C'est exactement ce qui se passe quand on commence à jouer avec le google dorking — et ce n'est pas une légende, je l'ai vu de mes yeux sur un site client.
L'idée de base est bête comme tout : au lieu de chercher « recette de crêpes », vous demandez au moteur de trouver tout ce qui ressemble à une fuite. Et Google, qui indexe tout ce qu'il trouve sans se poser de questions, vous sert ça sur un plateau. Voilà pourquoi cette technique traîne depuis des années dans la boîte à outils des pentesters… et des moins scrupuleux.
Points clés à retenir
- Le google dorking consiste à utiliser des opérateurs avancés (
site:,filetype:,intitle:…) pour faire remonter des pages que Google a indexées sans qu'elles soient censées être visibles. - Ce n'est pas du hacking au sens strict : vous n'exploitez aucune faille, vous lisez ce qui est déjà public.
- Les opérateurs se combinent — c'est la combinaison qui fait la puissance, pas l'opérateur seul.
- Côté défense, la parade est simple : un fichier
robots.txtcorrect, et surtout arrêter de publier des choses sensibles. - La frontière entre curiosité et intrusion est floue, mais juridiquement, elle existe. Ne la testez pas.
Le google dorking, c'est quoi au juste ?
Une question qu'on me pose souvent : « mais c'est juste de la recherche avancée, non ? » Oui. Et c'est bien ça le problème.
Le google dorking (ou Google hacking) désigne l'usage d'opérateurs de recherche spéciaux pour filtrer les résultats de façon chirurgicale. Là où une recherche normale vous noie sous des millions de pages, une requête bien construite vous sort les cinq documents qui vous intéressent. Sauf qu'ici, « intéressant » veut souvent dire « sensible ».
Que signifie "dorking" ?
Le mot vient de « dork », qui désigne en anglais un nerd, un type un peu bizarre. Rien à voir avec un quelconque acronyme technique. L'expression s'est imposée dans les milieux de la sécurité au début des années 2000, notamment grâce à Johnny Long, un chercheur qui a compilé des milliers de requêtes dans une base restée célèbre. Le terme est un peu péjoratif à l'origine, mais il est resté.
Donc : « dork » = la requête. « Dorking » = l'action de chercher avec. Simple.
Pourquoi ça marche encore en 2026
Parce que Google indexe. Tout le temps. Sans discernement. Un serveur mal configuré, un dossier laissé ouvert, un PDF confidentiel uploadé par erreur — Googlebot passe, prend, range. Et il ne prévient personne.
J'ai découvert ça par accident il y a quelques années, en cherchant la documentation d'un logiciel interne. En deux requêtes, je suis tombé sur l'organigramme complet d'une boîte, avec les noms et les numéros directs des dirigeants. Ils l'avaient publié sans s'en rendre compte. Ça m'a marqué, et ça explique pourquoi je vérifie systématiquement ce que mes propres projets laissent traîner.
Les opérateurs Google Dorks qui font vraiment le travail
Tous les tutos vous balancent la même liste sans rien expliquer. Je vais faire l'inverse : les opérateurs qui servent réellement, avec le pourquoi derrière.
| Opérateur | Ce qu'il fait | Exemple concret |
|---|---|---|
site: | Restreint la recherche à un domaine | site:exemple.com filetype:pdf |
filetype: | Ne renvoie qu'un type de fichier | filetype:xlsx intitle:"budget" |
intitle: | Le terme doit être dans le titre de la page | intitle:"index of" |
inurl: | Le terme doit apparaître dans l'URL | inurl:admin |
intext: | Cherche dans le corps du texte uniquement | intext:"mot de passe" |
cache: | Affiche la version archivée d'une page | cache:exemple.com |
Le plus utile, de loin, c'est site:. Il répond à une question basique : « qu'est-ce que ce domaine expose publiquement ? » Vous le tapez avec un nom de domaine, et vous voyez ce que le propriétaire n'a peut-être jamais voulu montrer.
La combinaison, c'est là que tout se joue
Un opérateur seul, ça ne casse pas trois pattes à un canard. C'est l'empilement qui devient redoutable. Regardez plutôt :
site:exemple.com intitle:"index of"→ repère les dossiers ouverts listés en vracfiletype:pdf site:gouv.fr→ filtre les PDF d'un site institutionnelinurl:login intitle:admin→ cherche les pages de connexion mal rangéesext:sqlouext:env→ des extensions qui n'ont rien à faire en ligne
Franchement, je me sers surtout des deux premières quand je fais des vérifications pour des clients. Elles suffisent à identifier 80 % des négligences.
Où trouver des listes toutes faites (et pourquoi je m'en méfie)
Il existe des bases de données entières de requêtes prêtes à l'emploi — la plus connue étant la Google Hacking Database. Vous la trouverez facilement. Mon conseil : ne les utilisez pas à l'aveugle.
La raison est simple. Ces listes sont publiques depuis des années, donc tout le monde les connaît, donc les cibles potentielles aussi. Une requête « magique » sortie d'un PDF circule déjà en boucle. Mieux vaut comprendre trois opérateurs et construire votre propre requête que d'en copier trente.
Ce que le google dorking change concrètement pour l'OSINT
Dans le renseignement en sources ouvertes, tout repose sur une question : que peut-on apprendre avec des outils gratuits et légaux ? Et là, le google dorking est un outil brutal d'efficacité.
Un enquêteur sérieux ne se contente pas de taper un nom. Il croise les opérateurs : un filetype: sur un domaine d'entreprise, un site: sur un réseau social pour isoler un profil. En quelques minutes, on reconstitue des liens que les intéressés croyaient invisibles.
Et là, il faut être clair sur un point : le contenu indexé est public, mais son usage ne l'est pas forcément. Extraire des données personnelles, même accessibles, pour les stocker ou les diffuser, ça tombe vite sous le coup de la loi. La technique est libre. Ce que vous en faites, non.
Les recherches les plus demandées sur le sujet
Je vois passer régulièrement des requêtes du type « google dorks whatsapp » ou « google dorking instagram ». Prudence.
La plupart du temps, ces recherches partent d'une fausse promesse : celle de « voir » un compte privé ou de récupérer des données de messagerie. Ça ne fonctionne pas comme ça. WhatsApp chiffre les messages, Instagram verrouille ses données. Aucun opérateur Google ne perce ça — ce sont des systèmes fermés, pas des pages web.
Ce qu'un dork peut faire, en revanche, c'est remonter des captures d'écran, des exports de conversations publiés par erreur, ou des profils liés à une adresse. De la reconstitution, pas de la magie. La nuance compte.
Quelle est la recherche la plus bizarre sur Google ?
Honnêtement, impossible de répondre de façon fiable. Google ne publie pas de classement officiel des requêtes les plus absurdes, et aucune source sérieuse ne peut trancher.
Ce que je peux vous dire, c'est ce que l'on observe côté dorks : des recherches du genre intitle:"index of" "parent directory" remontent parfois des contenus complètement inattendus — serveurs de jeux abandonnés, vieux backups, fichiers oubliés. Le vrai vertige, ce n'est pas la bizarrerie de la question, c'est ce qui traîne encore alors que personne ne le surveille plus.
Comment savoir si une alerte de sécurité Google est fausse ?
Sujet connexe, mais essentiel, parce qu'on me le demande souvent après avoir parlé de dorking.
Une alerte Google qui vous prévient d'une « activité suspecte » peut être authentique… ou être un phishing pur jus. La règle de base : ne cliquez jamais sur le lien contenu dans l'e-mail. Ouvrez un nouvel onglet, tapez vous-même l'adresse du service, et vérifiez dans vos paramètres de sécurité.
Regardez ensuite l'expéditeur réél. Une vraie alerte Google part d'un domaine officiel, jamais d'une adresse approximative du genre [email protected]. Si on vous demande de « confirmer votre mot de passe » via un formulaire, c'est du phishing. Point.
Et si le doute persiste, un changement de mot de passe et une double authentification règlent le problème en cinq minutes. Pas besoin d'en faire un plat.
Côté défense : ce que j'ai appris en testant mes propres projets
Le google dorking n'a de sens que si l'on comprend une chose : ce n'est pas une arme, c'est un miroir. Il montre ce que vous exposez déjà.
J'ai passé un moment à tester mes propres sites avec quelques requêtes basiques. Verdict : un vieux dossier de staging que j'avais oublié était toujours en ligne, indexé, avec des notes internes dedans. Rien de critique, mais assez pour me faire réfléchir une bonne heure. Depuis, je vérifie systématiquement.
Les contre-mesures sont d'une banalité affligeante, et c'est justement pour ça qu'on les oublie :
- Un fichier
robots.txtpropre, qui bloque les dossiers sensibles - Des mots de passe sur les environnements de test
- Arrêter de publier des documents confidentiels sur un serveur web
- Vérifier régulièrement ce que Google a indexé de votre domaine
La vraie question n'est pas « comment cacher ». C'est « pourquoi c'est en ligne en premier lieu ».
La leçon que je garde
Le google dorking est une technique vieille de plus de vingt ans, toujours active, toujours aussi efficace — non pas parce qu'elle est sophistiquée, mais parce que les erreurs humaines, elles, ne changent jamais.
Ce qui me frappe, c'est qu'on présente souvent ces outils comme des armes réservées aux experts. Faux. Trois opérateurs compris, dix minutes de pratique, et n'importe qui peut voir ce qu'une organisation expose. C'est à la fois la beauté et le vertige de la chose.
Alors, la prochaine fois que vous taperez une simple requête sur Google, posez-vous une question : et si quelqu'un tapait une requête un peu plus précise sur votre domaine ? Vous n'aimerez peut-être pas la réponse.
