Google dorking : la technique secrète des hackers pour tout trouver sur le web

Vous tapez une requête dans Google, et en quelques secondes, une liste de résultats s'affiche. Pour la plupart des gens, c'est une porte d'entrée vers des pages web ordinaires. Pour d'autres, c'est un outil de crochetage numérique.

Le Google Dorking — ou Google Hacking, selon l'école — consiste à utiliser des opérateurs de recherche avancée pour exhumer ce qui n'est pas censé être trouvé. Des fichiers contenant des mots de passe, des listes d'employés, des sauvegardes de bases de données, des caméras de surveillance accessibles. Tout cela, indexé par le moteur de recherche le plus utilisé au monde.

J'ai commencé à m'y intéresser il y a une dizaine d'années, par simple curiosité technique. Je voulais comprendre comment des inconnus pouvaient retrouver des informations que des entreprises pensaient avoir bien cachées. J'ai vite compris que le problème n'était pas Google. C'était la façon dont nous, humains, configurons nos serveurs.

Qu'est-ce que le Google Dorking, exactement ?

Décomposons le terme. Le "dorking" vient de l'idée qu'une requête bien formulée, souvent courte et étrange, permet d'obtenir des résultats insoupçonnés. En informatique, un "dork" est une requête de recherche spécifique, parfois partagée entre passionnés, qui cible des fichiers ou des pages vulnérables.

Ce n'est pas une technique de piratage à proprement parler. Aucune intrusion n'est forcée. Aucun pare-feu n'est contourné par la force. On utilise le moteur de recherche comme un index géant de tout ce qui est accessible publiquement — et c'est là toute la nuance juridique et éthique.

Prenons un exemple concret. Un responsable informatique configure un serveur de fichiers pour un projet interne. Il oublie d'ajouter un fichier `.htaccess` ou de restreindre le dossier par authentification. Quelques mois plus tard, un moteur de recherche passe par là, indexe les fichiers, et les rend consultables à quiconque sait poser la bonne question.

La bonne question, dans ce cas, pourrait ressembler à ceci :

filetype:xls "password" "config" site:exemple.com

Cette requête cherche des fichiers Excel contenant le mot "password" ou "config" sur le domaine exemple.com. Si un tel fichier est indexé, il apparaîtra dans les résultats.

Les opérateurs de recherche essentiels

Pour pratiquer le Google Dorking, vous devez connaître quelques opérateurs de base. Ce sont des mots-clés précédés de deux-points qui affinent la recherche. En voici une liste non exhaustive :

• site: : restreint les résultats à un domaine ou une URL spécifique. Exemple : site:exemple.com
• filetype: : filtre par type de fichier. Exemple : filetype:pdf
• intitle: : trouve des pages dont le titre contient le mot spécifié. Exemple : intitle:"index of"
• inurl: : recherche des mots dans l'URL de la page. Exemple : inurl:admin
• intext: : cherche un mot dans le contenu de la page. Exemple : intext:"mot de passe"

Ces opérateurs se combinent entre eux, et avec des mots-clés classiques, pour créer des requêtes extrêmement ciblées. C'est là que réside la puissance du dorking.

Exemples de requêtes dork classiques

Voici quelques exemples de requêtes couramment utilisées, avec ce qu'elles permettent de trouver :

Requête	Ce qu'elle expose
intitle:"index of" "backup"	Des répertoires de sauvegarde non protégés
filetype:sql "INSERT INTO"	Des exports de bases de données
inurl:php?file=	Des paramètres d'inclusion de fichiers (potentiellement vulnérables)
filetype:env "DB_PASSWORD"	Des fichiers de configuration avec des identifiants de connexion
intext:"Chargé de projet" "Salaire" filetype:xls	Des tableaux de salaires potentiellement sensibles

La liste des dorks est longue et vivante. Des bases de données comme la Google Hacking Database (GHDB) sur le site Exploit-DB recensent des centaines de requêtes, triées par catégorie (fichiers sensibles, pages de connexion, erreurs de serveur, etc.). Elles sont mises à jour régulièrement par la communauté, ce qui en fait une ressource précieuse pour les débutants comme pour les experts.

Combiner les opérateurs avec la logique booléenne

Les opérateurs de base suffisent pour des recherches simples. Mais le vrai dorking commence quand on les combine avec des opérateurs booléens : AND, OR, NOT, et l'utilisation de guillemets pour les expressions exactes.

Exemple : vous cherchez des fichiers de configuration sur un domaine précis, mais vous voulez exclure ceux qui semblent être des copies de démonstration. Votre requête pourrait être :

site:exemple.com filetype:conf -demo

Le signe moins (-) exclut les résultats contenant le mot "demo". Cette logique vous permet d'affiner vos recherches et d'éliminer le bruit.

Une erreur courante chez les débutants est d'oublier que Google ignore certains caractères et mots courants (comme "de", "le", "la") s'ils ne sont pas entre guillemets. De plus, les opérateurs doivent souvent être en minuscules et sans espace après les deux-points pour fonctionner correctement.

Usages légitimes et éthiques du dorking

Il serait réducteur de voir le Google Dorking uniquement comme un outil de piratage. En cybersécurité défensive, il est un allié précieux. Les équipes de sécurité l'utilisent régulièrement pour auditer leur propre exposition. Une simple recherche site:votre-domaine.com filetype:doc peut révéler des documents internes que vous pensiez protégés.

Je l'ai expérimenté personnellement. Lors d'un audit pour un client, une recherche de ce type a fait remonter un fichier Excel contenant la liste complète des adresses de ses employés, avec leurs numéros de téléphone. Le fichier datait de trois ans, mais il était toujours indexé. Personne n'y avait pensé.

Ce genre de découverte est monnaie courante. Les entreprises laissent traîner des données sensibles en ligne par négligence, et le dorking est souvent le moyen le plus rapide de s'en rendre compte.

Les limites de Google et les alternatives

Google n'est pas le seul moteur de recherche, et il n'indexe pas tout. Certaines parties du web lui échappent, notamment le "web invisible" : les pages protégées par mot de passe, les bases de données dynamiques, ou les contenus générés en temps réel.

D'autres outils existent pour compléter la boîte à outils du chercheur :

• Shodan : le moteur de recherche des objets connectés. Il indexe les serveurs, les caméras, les routeurs, etc. Une mine d'or pour la reconnaissance à grande échelle.
• Censys : un outil similaire à Shodan, permettant de rechercher des hôtes et des services sur l'ensemble d'internet.
• Bing : le moteur de recherche de Microsoft indexe parfois des contenus que Google ne voit pas, ou les classe différemment. Une double vérification peut être utile.

Chaque outil a ses forces et ses faiblesses. Le dorking n'est pas une science exacte : ce qui est indexé aujourd'hui peut ne plus l'être demain, et vice-versa. D'où l'importance de croiser les sources.

Le dorking face aux règles et à la loi

Lançons-nous dans une question épineuse : est-ce légal ? La réponse, comme souvent, est nuancée.

Formuler une requête de recherche n'est pas illégal. Google indexe des contenus publics, et les consulter n'est pas une intrusion. En revanche, ce que vous faites des résultats peut l'être.

Télécharger une base de données contenant des informations personnelles pour les utiliser à des fins frauduleuses est clairement illégal et contraire à l'éthique. Tenter de se connecter à une interface d'administration trouvée via une requête, dans le but de s'y introduire, est une intrusion qui peut tomber sous le coup de la loi.

La frontière entre test de sécurité et violation de système est mince. De nombreuses entreprises disposent de programmes de bug bounty : ils autorisent des chercheurs externes à tester leurs systèmes, à condition de respecter un périmètre défini. Le dorking peut y avoir sa place, mais il faut toujours vérifier les règles spécifiques du programme.

Mon avis personnel : le dorking est un outil de connaissance. Il révèle des failles de configuration, mais ce n'est pas une attaque. L'intention fait la différence. Chercher pour comprendre et protéger est une chose. Chercher pour exploiter en est une autre.

Comment vous protéger contre le dorking

La vraie question pour toute entreprise n'est pas "est-ce que quelqu'un va me dorker ?", mais "qu'est-ce qu'une recherche Google pourrait révéler sur mon domaine ?".

Voici quelques pistes de protection, par ordre d'importance à mon sens :

1. Audit régulier : effectuez vos propres recherches dorks sur votre domaine. Notez ce qui remonte et corrigez les expositions.
2. Authentification : protégez systématiquement les répertoires sensibles (sauvegardes, exports, documentations internes) par mot de passe.
3. Le fichier robots.txt : il peut empêcher l'indexation de certaines pages, mais il n'est pas infaillible. Pensez-y comme à une consigne, pas à un verrou.
4. Désindexation : si une page sensible est déjà indexée, vous pouvez demander sa suppression via Google Search Console.
5. Surveillance : mettez en place des alertes sur vos propres domaines pour détecter les nouvelles indexations suspectes.

Il faut bien comprendre que le robots.txt n'empêche pas la découverte. Il indique aux robots de ne pas indexer certaines parties du site, mais un lien direct vers un fichier protégé restera accessible si l'URL est retrouvée. Et certains moteurs de recherche ignorent partiellement le robots.txt.

La protection la plus efficace reste la prévention : ne pas mettre de données sensibles dans des emplacements accessibles publiquement, même temporairement. Une fois qu'une information est en ligne, il est presque impossible de garantir qu'elle en disparaisse.

Allons plus loin avec des exemples concrets

J'ai promis des exemples concrets. En voici un, vécu il y a quelques années lors d'un audit de sécurité pour une PME.

Un client nous avait demandé de vérifier son exposition. Nous avons commencé par une simple requête : site:clients-exemple.fr filetype:pdf. Les résultats étaient banals : des notices produits, des guides d'utilisation. Puis nous avons élargi : site:clients-exemple.fr filetype:xls.

Là, surprise. Un fichier nommé "factures_2018.xls" apparaissait. Le client l'avait oublié sur son serveur web après une migration. Il contenait les noms, adresses et montants d'achat de tous ses clients de l'année 2018. Une fuite de données personnelles au sens du RGPD.

Ce n'était pas le fait d'un attaquant malveillant. C'était simplement une erreur humaine, rendue visible par une recherche Google. Le fichier a été retiré, mais il avait été indexé pendant plusieurs mois.

Cet exemple montre que le problème n'est pas le dorking en soi. C'est la gestion des données. Le dorking est le révélateur, parfois brutal, d'une hygiène numérique défaillante.

Un deuxième exemple, cette fois avec les caméras de surveillance. En cherchant inurl:view/view.shtml, on peut tomber sur des interfaces de caméras IP accessibles sans mot de passe. Des chercheurs en sécurité éthique l'utilisent pour démontrer l'ampleur du problème, mais il est évident que des individus mal intentionnés l'utilisent aussi. C'est là que l'éthique personnelle entre en jeu.

Le dorking, une compétence à double tranchant

Il serait malhonnête de prétendre que le dorking est une compétence anodine. Elle peut causer des dégâts réels entre de mauvaises mains. Mais elle peut aussi protéger des organisations entières, à condition d'être utilisée avec discernement.

La différence entre un professionnel de la sécurité et un curieux malveillant ne réside pas dans la technique. C'est la même. La différence est dans l'intention, la formation, et le respect du cadre légal et éthique.

Si vous êtes curieux de comprendre comment fonctionnent les moteurs de recherche et la cybersécurité, le dorking est une porte d'entrée fascinante. Si vous êtes responsable d'un site web, c'est un outil d'audit que vous devriez connaître au moins en théorie.

Mais quelle que soit votre motivation, gardez une règle d'or en tête : ce que vous trouvez n'est pas nécessairement à vous. Une information accessible n'est pas une autorisation d'usage. Le respect de la vie privée d'autrui et des lois en vigueur n'est pas négociable, même en ligne.

Le web est un espace immense, et le dorking en révèle les coulisses. À vous de choisir comment vous allez regarder derrière le rideau — et ce que vous ferez de ce que vous verrez.