Il y a quelques années, je cherchais des annuaires de liens pour un projet perso. Je suis tombé sur un forum où un gars expliquait qu'il avait trouvé, en trois requêtes, une liste de fichiers Excel contenant les coordonnées de plusieurs milliers de clients d'une enseigne de sport. Pas de piratage, pas d'exploit. Juste Google, et une syntaxe que la plupart des gens ignorent. Cette syntaxe, c'est le google dorking. Et une fois qu'on l'a vue à l'œuvre, on ne regarde plus jamais la barre de recherche de la même façon.
Le sujet revient sur la table régulièrement, mais 2026 lui donne une résonance particulière. Les entreprises ont empilé des années de documents dans le cloud, exposé des dashboards, oublié des backups. Résultat : la surface indexée par les moteurs de recherche est devenue une vraie zone de fuite potentielle. Comprendre le google dorking n'est plus un passe-temps de geek curieux, c'est une compétence de base pour quiconque touche à la sécurité, au référencement ou à l'osint.
Dans cet article, je vous montre comment ça marche vraiment, ce que ça permet de trouver, où se situe la ligne rouge légale, et comment m'en servir côté défense plutôt que côté attaque. Parce que la question n'est pas si vos données sont exposées, mais quand quelqu'un tombera dessus.
Points clés à retenir
- Le google dorking consiste à utiliser les opérateurs de recherche avancés pour faire remonter des informations normalement invisibles.
- Les opérateurs les plus utiles en pratique :
site:,filetype:,intitle:,inurl:etcache:. - La technique est au cœur de l'osint et du hacking éthique, mais son usage malveillant tombe sous le coup de la loi.
- La vraie valeur pour une entreprise, c'est de l'utiliser sur son propre domaine pour détecter ses fuites de données avant les autres.
- Un audit dorking bien mené prend une demi-journée et coûte zéro euro en outils.
Comprendre le google dorking en cinq minutes
Le principe tient en une phrase : un moteur de recherche indexe bien plus de choses que ce que les propriétaires de sites imaginent. Le google dorking consiste à écrire des requêtes suffisamment précises pour isoler ces pages oubliées, mal protégées ou volontairement cachées du grand public.
Le terme vient de "dork", comprenez "requête de recherche un peu bizarre". Rien de péjoratif à l'origine. Un dork, c'est juste une combinaison d'opérateurs qui cible un type de contenu précis.
Pourquoi ça marche encore en 2026
On pourrait croire que les moteurs ont verrouillé tout ça. Faux. Ce qui a changé, c'est la nature des données exposées : moins de vieux forums PHP, beaucoup plus de documents collaboratifs, de fichiers de configuration et de dashboards cloud mal configurés. La recherche avancée google n'a pas perdu de puissance, elle a changé de cible.
Un exemple concret. Sur un projet client l'an dernier, j'ai lancé une requête du type site:exemple-client.fr filetype:xlsx. Dix-huit résultats. Trois contenaient des exports de base clients avec noms, mails et numéros de téléphone. Le fichier était hébergé sur un sous-domaine que personne ne surveillait. Le client ignorait jusqu'à son existence.
Ce n'est pas une exception. C'est le quotidien de quiconque pratique l'osint sérieusement.
Les opérateurs de recherche qui changent tout
Il existe une trentaine d'opérateurs documentés. En pratique, une poignée suffit pour 90 % des cas. Voici ceux que j'utilise réellement, classés par utilité.
| Opérateur | Ce qu'il fait | Exemple concret |
|---|---|---|
site: | Limite la recherche à un domaine | site:monentreprise.fr confidential |
filetype: | Cible une extension précise | filetype:pdf "mot de passe" |
intitle: | Cherche dans le titre de la page | intitle:"index of" backup |
inurl: | Cherche dans l'URL | inurl:admin login |
cache: | Affiche la version mise en cache | cache:ancien-site.fr |
Le secret, c'est de les combiner
Un opérateur seul, c'est faible. La puissance vient de l'empilement. site: + filetype: + un mot-clé sensible, voilà une requête qui remonte des choses.
Quelques combinaisons que j'ai testées et qui donnent des résultats surprenants :
site:domaine.fr filetype:log— les fichiers de log traînent souvent en clair, avec des chemins internes et parfois des identifiants.intitle:"index of" site:domaine.fr— les serveurs mal configurés affichent encore l'arborescence complète de leurs dossiers.inurl:wp-content/uploads site:domaine.fr— sur WordPress, ce dossier contient parfois bien plus que des images.filetype:env "DB_PASSWORD"— le fichier.envoublié à la racine, le classique absolu.
Franchement, la première fois que j'ai vu un fichier .env remonter en première page de résultats avec les identifiants de base de données en clair, j'ai eu un petit frisson. Le site appartenait à une PME de services. Personne ne l'avait signalé. Je les ai contactés, ils ont corrigé en deux heures.
Le dorking, c'est souvent moins de la magie que de l'hygiène numérique.
Auditer son propre site : la méthode que j'utilise
Voilà la partie qui devrait intéresser 90 % des lecteurs. Oubliez l'idée d'aller fouiller chez les autres. La vraie utilité du google dorking, c'est de retourner la technique contre vous-même, pour voir ce que le monde voit de votre organisation.
Protocole en quatre étapes
- Lister vos domaines et sous-domaines. On en découvre toujours deux ou trois qu'on avait oubliés (environnements de test, anciens sites, portails partenaires).
- Passer une batterie de dorks ciblés. Fichiers de config, exports, dashboards, pages de connexion, dossiers ouverts.
- Vérifier ce qui est indexé. Un outil comme la commande
site:donne une vue rapide. Si un document interne ressort, il faut agir. - Documenter et corriger. Retirer l'indexation via les outils pour webmasters, protéger l'accès, changer les identifiants exposés.
J'ai fait cet exercice sur le site d'une association il y a quelques mois. Une demi-journée de travail. Deux documents sensibles identifiés, un dossier de sauvegarde accessible publiquement, et une page de connexion admin qui traînait en clair. Rien de catastrophique, mais tout était évitable.
Faut-il vraiment un outil dédié ?
Des outils existent, certains gratuits, d'autres payants. Mon avis, tranché : pour un audit ponctuel, la barre de recherche et une liste de requêtes bien construite suffisent. Les outils automatisés ont un intérêt quand on gère des dizaines de domaines et qu'on veut industrialiser la surveillance. Pour le reste, c'est du confort.
Si vous voulez aller plus loin dans l'automatisation de vos vérifications, la logique ressemble beaucoup à ce qu'on fait en intégration d'API : on branche des sources, on croise, on déclenche des alertes. Sauf qu'ici, la source, c'est le moteur de recherche.
Jusqu'où va la légalité ?
Question qu'on me pose à chaque fois. La réponse n'est pas confortable, mais elle est claire.
Consulter une page indexée publiquement n'est pas, en soi, un délit. Le moteur l'a rendue accessible. Le problème surgit dès qu'on va plus loin : télécharger massivement des données personnelles, tenter de s'authentifier sur un panneau d'administration, utiliser une information pour nuire. Là, on bascule. En France, l'accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni par le code pénal, et les sanctions ne sont pas symboliques.
La frontière tient à trois choses :
- L'intention — chercher à comprendre ou chercher à exploiter.
- L'action — regarder une page publique ou forcer un accès.
- Le consentement — auditer son propre site ou celui d'un client avec autorisation écrite.
Mon conseil, et je le répète à chaque mission : ne testez jamais un dork sur un domaine que vous ne possédez pas ou pour lequel vous n'avez pas de mandat signé. Le hacking éthique a des règles, et la première, c'est l'autorisation.
Le dorking en 2026 : ce qui a changé
Trois évolutions notables par rapport à l'époque où j'ai commencé à m'y intéresser.
D'abord, la disparition progressive du cache dans les résultats de recherche. L'opérateur cache: perd de son intérêt, ce qui complique la récupération de contenus supprimés. Ensuite, l'essor des interfaces de recherche boostées à l'IA, qui reformulent les requêtes. Bonne nouvelle pour l'utilisateur lambda, mauvaise pour le dorker : les opérateurs bruts passent parfois à la trappe. Il faut souvent revenir à l'interface classique ou à des moteurs alternatifs.
Enfin, la donnée s'est déplacée. Les fuites les plus fréquentes aujourd'hui ne sont plus des vieux fichiers HTML, mais des exports de SaaS, des buckets de stockage mal configurés, des documents collaboratifs partagés en "lecture pour tous". Le dorking s'adapte, il ne meurt pas.
Un point qui me frappe : la plupart des entreprises qui se font épingler sur ce terrain n'ont jamais fait l'exercice une seule fois. Elles investissent dans des pare-feux, des antivirus, des formations phishing, et laissent un dossier de sauvegarde en accès libre depuis deux ans. C'est un peu comme verrouiller sa porte d'entrée en laissant la fenêtre du salon grande ouverte.
Pour les créateurs qui construisent des projets numériques, cette hygiène devrait être un réflexe de base, au même titre que le choix de son infrastructure. C'est le genre de détail qui sépare un projet viable d'un actif numérique qu'on revend sans stress d'une bombe à retardement.
Ce que vous devriez faire dès demain matin
Le google dorking n'est ni un outil de sorcier, ni une arme réservée aux pentesters. C'est une compétence de lecture du web. Elle vous apprend à voir ce que les autres ne voient pas, et surtout à vérifier que vous n'exposez pas, sans le savoir, ce que vous croyez protéger.
La synthèse tient en trois idées. Un : les opérateurs de recherche sont puissants et accessibles à tous, ce qui signifie que vos concurrents, vos clients et les personnes mal intentionnées les ont aussi. Deux : la meilleure défense reste l'audit régulier de son propre domaine, pas la surveillance obsessionnelle des autres. Trois : la ligne légale est claire, et la franchir n'apporte jamais rien de bon.
Concrètement, voici votre prochaine action. Prenez une heure, aujourd'hui ou demain, ouvrez votre moteur de recherche préféré, et tapez site:votredomaine.fr filetype:pdf. Puis filetype:xlsx. Puis filetype:env. Regardez ce qui remonte. Si quelque chose ne devrait pas être là, vous venez de gagner une heure de sommeil pour les mois à venir. Si rien ne remonte, félicitations, vous faites partie des rares organisations propres. Et si vous ne savez pas quoi faire des résultats, faites appel à quelqu'un dont c'est le métier.
Parce qu'au fond, la vraie question n'est jamais "est-ce que mes données sont exposées ?". C'est "depuis combien de temps, et qui le sait déjà ?".
Questions fréquentes
Le google dorking, c'est illégal ?
Non, tant que vous vous limitez à consulter des pages publiquement indexées. Ça devient illégal dès que vous tentez d'accéder à un système protégé, de télécharger massivement des données personnelles ou d'exploiter une faille. L'intention et l'action comptent autant que le résultat.
Quels sont les opérateurs de recherche les plus utiles pour débuter ?
Commencez par cinq : site:, filetype:, intitle:, inurl: et les guillemets pour figer une expression exacte. Avec ces cinq briques, vous couvrez déjà la majorité des cas concrets.
Comment savoir si mon site est exposé à une fuite de données via Google ?
Lancez une série de requêtes sur votre propre domaine : fichiers de configuration, exports tableurs, dossiers ouverts, pages d'administration. Si un document interne remonte, retirez-le de l'indexation via les outils pour webmasters et corrigez la cause (droits d'accès, mot de passe, hébergement).
Est-ce que le google dorking fonctionne encore avec les moteurs boostés à l'IA ?
Oui, mais avec des nuances. Les interfaces conversationnelles reformulent souvent les requêtes et cassent les opérateurs bruts. Pour un usage sérieux, revenez à l'interface classique de recherche ou testez des moteurs alternatifs qui respectent la syntaxe.
Quelle différence entre google dorking et osint ?
Le dorking est une technique parmi d'autres dans la boîte à outils de l'osint. L'osint couvre l'ensemble de la collecte d'informations à partir de sources ouvertes : réseaux sociaux, registres publics, archives, métadonnées. Le dorking se concentre sur l'exploitation fine des moteurs de recherche.
