Google dorking : la technique secrète des hackers pour tout trouver sur Google

Bon. Parlons franchement : le google dorking, tout le monde en parle comme d'un truc de hacker un peu mythique, et pourtant, la plupart des professionnels que je croise n'ont jamais ouvert une vraie page de résultats Google avec autre chose qu'une question bateau.

Moi-même, quand j'ai commencé à m'intéresser à la cybersécurité il y a des années, je pensais que c'était réservé à une élite. Quelle erreur.

En une phrase : le google dorking consiste à utiliser des opérateurs de recherche avancée pour trouver des informations que Google n'affiche pas en temps normal. Des fichiers exposés, des pages de connexion oubliées, des bases de données mal protégées. Et non, ce n'est pas magique. C'est de la méthode.

Oubliez Hollywood : le google dorking est une discipline d'archiviste

Quand je forme des équipes, je commence presque toujours par déconstruire ce mythe. Le dorking ne permet pas de « pénétrer » un serveur. Il permet de lire l'index de Google. Rien de plus, rien de moins.

Prenons un exemple concret. Vous gérez un site d'école qui publie des listes d'élèves en PDF. Si quelqu'un a oublié de protéger le dossier, une simple requête comme :

- site:votre-ecole.fr filetype:pdf

…vous montrera tout ce qui est indexé en PDF. Et si une liste d'élèves traîne dans un sous-dossier non référencé, elle y sera probablement. Ce n'est pas de l'intrusion. C'est de la lecture attentive de l'index public.

Le vrai problème du google dorking, ce n'est pas la technique. C'est la négligence. Les failles ne sont pas dans Google, elles sont dans les serveurs qui exposent des fichiers sensibles sans protection.

Les 5 opérateurs que j'utilise vraiment, et pourquoi

Pendant longtemps, j'ai noté mes dorks sur un carnet. Puis j'ai compris qu'il y a une logique. Voici les opérateurs que j'utilise dans 90 % de mes recherches, avec un exemple réel pour chacun.

Les piliers : site: et filetype:

Le couple site: et filetype: est le socle. Il permet de dire à Google : « ne me montre que les PDF de ce domaine ». C'est la base de toute cartographie.

- site:exemple.com filetype:xlsx → tous les classeurs Excel exposés.

J'ai trouvé une fois, sur le site d'une mairie, un fichier Excel contenant les budgets de tous les services, avec les numéros de téléphone des agents. Le fichier était indexé depuis trois ans. Personne ne l'avait vu. Personne ne l'avait protégé.

Cibler les pages de connexion : intitle: et inurl:

Pour trouver des panneaux d'administration, je combine intitle: (titre de page) et inurl: (URL).

• intitle:"index of" "admin" → des listes de fichiers à la racine d'un serveur.
• inurl:login intitle:admin → des pages de connexion.

Bon, soyons clairs : trouver une page de login, ce n'est pas un exploit. Mais c'est un excellent point de départ pour une campagne de sensibilisation. Si je peux trouver votre page d'administration en 30 secondes, quelqu'un d'autre peut le faire aussi.

La précision chirurgicale : intext: et les guillemets

Pour chercher du contenu précis dans une page, intext: est un couteau suisse.

- intext:"mot de passe" filetype:txt → des fichiers texte qui contiennent littéralement « mot de passe ».

Attention : intext: ne garantit pas que le mot-clé est dans le corps de la page au sens où vous l'entendez. Google ne « voit » pas toujours le contenu dynamique. Mais pour les fichiers statiques, c'est redoutable.

Et les guillemets, c'est la base de tout. Sans eux, Google cherche des mots séparément. Avec eux, il cherche l'expression exacte. La différence est énorme.

Exemples de dorks que j'ai utilisés (et ce qu'ils m'ont appris)

Voici trois exemples qui fonctionnent (ou qui ont fonctionné à un moment donné), avec le raisonnement derrière.

1. Fichiers de sauvegarde oubliés : site:exemple.com filetype:sql. Les dumps SQL sont souvent des copier-coller de bases entières. Si le fichier est indexé, c'est une fuite massive. Une fois, j'ai trouvé une base de clients d'une PME avec adresses, emails et historique d'achats. Le fichier n'était pas protégé par mot de passe, juste oublié dans un sous-dossier.
2. Listes d'utilisateurs : site:exemple.com intext:"liste d'utilisateurs". Ce type de document finit souvent en PDF ou en ODT, parfois avec des identifiants en clair.
3. Caméras et objets connectés exposés : inurl:"view/view.shtml". Ce dork est vieux comme le monde, mais il pointe parfois vers des interfaces de caméras IP sans authentification.

Résultat concret : sur un audit, j'ai trouvé 11 fichiers sensibles indexés sur un domaine de 400 pages. Le client ne le savait pas. Le google dorking n'a rien « piraté » : il a simplement mis en évidence des erreurs de configuration.

Oui, le google dorking est gratuit. Non, ce n'est pas une raison pour être bête.

Quand on me demande si « Google Dorking gratuit » a un sens, je réponds oui, mais avec un bémol : c'est gratuit au sens où Google est gratuit. Il n'y a pas d'outil secret, pas d'abonnement premium.

Mais attention à la tentation. Les « dorks » se trouvent facilement sur des listes publiques, souvent appelées Google Hacking Database (GHDB) ou référencées dans des projets Open Source. Les utiliser sur des sites qui ne vous appartiennent pas, c'est votre responsabilité. Et là, je ne parle pas de morale : je parle de légalité.

En France, l'article 323-1 du code pénal punit l'accès frauduleux à un système de traitement automatisé de données. Même si vous ne « faites » rien, le fait de chercher activement des fichiers protégés sur un site tiers peut être considéré comme un acte préparatoire. Je ne suis pas juriste, mais je sais qu'aucun tribunal ne trouvera « drôle » que vous ayez téléchargé une base de clients qui ne vous appartient pas.

Mon conseil, si vous voulez pratiquer : faites-le sur vos propres serveurs, ou sur des plateformes d'entraînement. Il y a des sites volontairement vulnérables pour apprendre. Ça évite les mauvaises surprises.

Le côté obscur dont personne ne parle : se protéger du dorking

Tout le monde parle de l'attaque. Personne ne parle de la défense. Pourtant, c'est là que le dorking devient utile.

Il y a deux choses que je fais systématiquement quand j'audite un site :

1. Vérifier le robots.txt. Ce fichier indique à Google ce qu'il ne doit pas indexer. S'il est mal configuré, des répertoires entiers peuvent fuiter. Mais attention : un robots.txt n'est pas un verrou, c'est un panneau « ne pas indexer ». Un attaquant s'en moque.
2. Chercher mes propres fichiers. Je lance une série de dorks sur mon propre domaine : site:mondomaine.fr filetype:xlsx, site:mondomaine.fr intext:"confidentiel". Si je trouve quelque chose, je corrige immédiatement.

Le meilleur outil, c'est encore le bon sens. Par exemple, je refuse de publier des PDF de documents administratifs sans les avoir passés dans un logiciel de « nettoyage » des métadonnées. Parce qu'un simple filetype:pdf peut révéler, dans les propriétés du fichier, le nom de l'ordinateur, l'auteur, parfois même le chemin local du dossier.

La règle d'or : si vous ne voulez pas que le monde entier le voie, ne le mettez pas sur un serveur public. Même dans un sous-dossier obscur. Google finit par tout trouver.

Les limites du dorking : quand Google vous lâche

Autant être honnête : le google dorking a perdu de sa superbe depuis quelques années. Google a restreint certains opérateurs et limite désormais la profondeur de requête pour les utilisateurs non connectés. Si vous faites trop de requêtes en peu de temps, vous tomberez sur un CAPTCHA.

Et puis, il y a la question des autres moteurs. Bing, par exemple, gère différemment les opérateurs. Shodan, lui, indexe les serveurs et les objets connectés directement, sans passer par Google. Pour certain(e)s, le dorking sur Google est moins efficace qu'avant. Moi, je le vois comme un point de départ, pas comme une fin en soi.

Sur un projet récent, j'ai passé deux heures à chercher un fichier de configuration exposé via des dorks classiques. Rien. Puis j'ai lancé une requête sur Bing avec site: et filetype:, et j'ai trouvé en cinq minutes un backup vieux de quatre ans. Moralité : la diversification paie.

Questions qu'on me pose tout le temps : réponses courtes

Le google dorking est-il légal ?

Utiliser Google pour chercher, oui, c'est légal. La ligne rouge, c'est l'accès non autorisé. Lire un fichier PDF indexé publiquement est techniquement « public ». Mais si ce fichier contient des données personnelles et que vous les utilisez, vous entrez dans le champ du RGPD et du droit pénal. Mon avis : ne touchez à rien qui ne vous appartient pas.

Comment se protéger contre le dorking ?

En trois actions :

• Interdire l'indexation des répertoires sensibles via le robots.txt (mais sans s'y fier à 100 %).
• Mettre une authentification sur les dossiers contenant des fichiers sensibles.
• Auditer régulièrement avec ses propres dorks : site:mondomaine.fr suivi de filetype: et intext:.

Peut-on trouver des mots de passe avec le dorking ?

Parfois, oui. Des fichiers de configuration mal protégés ont traîné sur des serveurs pendant des années. Mais les « mots de passe » que vous trouverez sont souvent obsolètes, et le simple fait de les chercher sur un site tiers vous expose juridiquement. Ce n'est pas un terrain de jeu.

En revanche, sur un site dont vous êtes propriétaire, chercher intext:"password" filetype:txt peut révéler des fichiers de test oubliés. Ça, c'est utile.

Franchement, le dorking n'a rien de sexy. C'est un travail de fourmi : lister ce qui est exposé, comprendre pourquoi, et boucher les trous. Si vous êtes propriétaire d'un site, la meilleure attaque est la vôtre : cherchez-vous avant que les autres ne vous trouvent. Parce qu'un jour, quelqu'un le fera. Autant que ce soit vous.