Google dorking : 12 requêtes qui révèlent des failles cachées

Un après-midi, un client m'appelle, un peu gêné. Il venait de découvrir que sa boutique en ligne exposait ses bons de livraison en PDF, accessibles à n'importe qui depuis Google. Pas un hacker, pas un scanner automatique : son propre stagiaire, en tapant deux mots-clés dans la barre de recherche. Sa phrase exacte : « Mais je croyais que Google ne voyait que mes pages de produits. »

Voilà le problème central du google dorking. Ce n'est pas une technique obscure réservée aux pentesters en capuche. C'est l'usage normal, mais précis, des opérateurs de recherche avancée que Google met à la disposition de tout le monde. Et si vous gérez un site, un intranet, un espace client, vous êtes potentiellement concerné.

Je vais vous montrer la syntaxe réelle, les requêtes qui fonctionnent, et surtout le volet dont presque personne ne parle : ce que ça implique juridiquement en France, et comment vérifier votre propre site ce soir.

Google dorking : ce que c'est vraiment, sans le folklore

Dorking, c'est le mot un peu ridicule qu'on a donné à une chose très simple : utiliser Google comme une base de données. Au lieu de taper « facture 2024 » et de prier, vous dites à Google précisément où chercher, dans quel type de fichier, et avec quel mot dans l'URL.

Google indexe bien plus que des pages HTML. Il avale des PDF, des tableurs, des présentations, des fichiers de configuration, et parfois des dossiers entiers qu'un serveur mal configuré laisse visibles. Le dorking consiste à aller chercher dans ces recoins.

Pourquoi ça marche encore

Parce que l'indexation est automatique et que personne ne vérifie ce que Google décide de garder. Un robots.txt mal écrit, un dossier de sauvegarde oublié à la racine, une page de test jamais supprimée : Google les trouve, les met en cache, et attend sagement qu'on vienne les chercher.

Je l'ai vérifié sur mon propre site il y a quelques mois. J'avais laissé un export CSV de la base clients en libre accès dans un sous-dossier, en pensant que « personne ne connaît l'URL ». Trois semaines plus tard, il était indexé.

Les opérateurs qui changent tout

La syntaxe n'est pas sorcière. Il y a une dizaine d'opérateurs qui font 95 % du travail. En voici un tableau que j'utilise encore, que j'ai reconstruit après avoir raté plusieurs fois des requêtes à cause d'espaces mal placés.

Opérateur	Effet	Exemple concret
site:	Limite la recherche à un domaine	site:exemple.fr filetype:pdf
filetype:	Cible une extension précise	filetype:xlsx (ou ext:)
intitle:	Le mot doit apparaître dans le titre de la page	intitle:"index of"
inurl:	Le mot doit apparaître dans l'URL	inurl:admin
intext:	Cherche dans le corps du texte	intext:"mot de passe"
cache:	Version en cache d'une page (de moins en moins fiable, Google a réduit ce service)	cache:exemple.fr
"…"	Expression exacte	"liste des utilisateurs"
-	Exclut un terme	-site:wikipedia.org

Les combinaisons qui font la différence

Un seul opérateur, c'est faible. Ce qui fonctionne vraiment, c'est de les empiler. Exemple : chercher un dossier ouvert contenant des logs sur un domaine précis.

site:exemple.fr intitle:"index of" log

Autre exemple classique : trouver des documents d'entreprise légitimes, parfaitement dans le domaine public, mais mal référencés.

filetype:pdf site:data.gouv.fr "données ouvertes" 2025

Franchement, c'est ce dernier usage qui m'intéresse le plus en 2026. Les jeux de données publics, les rapports d'activité, les PDF d'assemblées : tout ça est là, gratuit, et le dorking sert simplement à trouver le bon.

Google dorking pour la recherche : l'usage qu'on oublie

Avant d'aller plus loin, voilà mon opinion assumée : le dorking est d'abord un outil de recherche documentaire. C'est l'angle qu'on ne trouve presque jamais, et si je devais défendre un camp, ce serait celui-là.

Un exemple vécu. Je préparais un dossier sur les marchés publics locaux. J'ai passé une après-midi à ouvrir un PDF par onglet avant de comprendre que je pouvais faire :

filetype:pdf site:marchespublics.gouv.fr "attribution" — et tomber directement sur les documents d'attribution.

Gain de temps : de plusieurs heures à une dizaine de minutes. Ce n'est pas de la magie, c'est de la syntaxe.

Dorks OSINT : la recherche à partir d'un nom

Le terme « Google Dorks OSINT » revient souvent. OSINT signifie renseignement en source ouverte. Concrètement, ça consiste à croiser une information publique avec d'autres pour recouper. Le dorking y contribue : retrouver un rapport mentionné quelque part en le cherchant par son titre exact, par exemple.

Ce que je refuse de faire, et que je vois trop souvent dans les listes génériques : chercher des emails personnels, des numéros de téléphone, des données de particuliers. Ce n'est pas de l'OSINT, c'est du fichage.

Le cadre légal français : ce qui est autorisé, ce qui ne l'est pas

Attaquons le volet dont personne ne parle dans les articles de dorking. Les dix premiers résultats sur le sujet se contentent d'un « restez éthique » bien vague. En France, il y a du droit précis derrière.

Consulter une page publique indexée par Google n'est pas un délit. C'est une page publique. Point. Vous êtes sur le même plan qu'un visiteur ordinaire.

En revanche, l'article 323-1 du Code pénal sanctionne « le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données ». La nuance qui compte : frauduleusement. Si vous devinez un mot de passe, si vous contournez une authentification, si vous forcez un accès parce que l'URL vous a semblé intéressante, vous basculez. Que ce soit pour voir ou pour prendre, peu importe.

Et le RGPD dans tout ça

Autre point souvent oublié : les données personnelles indexées par erreur. Si vous trouvez un fichier contenant des noms et des adresses, vous ne pouvez pas en faire ce que vous voulez. La collecte de données personnelles depuis un fichier exposé reste une collecte. Il n'y a pas d'exception « c'était sur Google ».

La démarche correcte que j'applique quand je tombe sur ce type de fichier chez un client : documenter, avertir, ne pas diffuser, et demander la désindexation. Jamais de démonstration publique.

Comment vérifier et protéger votre propre site

Le dorking défensif est la partie qui devrait intéresser 90 % des lecteurs. Et c'est réjouissant, parce que les tests sont rapides.

Ma méthode, que je refais à chaque refonte :

1. Chercher votre domaine avec les extensions sensibles : site:votredomaine.fr filetype:pdf, puis filetype:xlsx, puis filetype:sql.
2. Tester les dossiers ouverts : site:votredomaine.fr intitle:"index of".
3. Repérer les sous-domaines oubliés : site:*.votredomaine.fr (test à faire sur des environnements de test, souvent les plus exposés).
4. Vérifier les panneaux d'admin mal protégés : site:votredomaine.fr inurl:admin.

Les trois corrections qui règlent 80 % des fuites

• Bloquer l'indexation des fichiers sensibles dans le robots.txt, mais sans vous y fier seul : Google peut indexer une URL sans y accéder si des liens pointent vers elle. Ajoutez un en-tête X-Robots-Tag: noindex.
• Retirer les fichiers de sauvegarde de la racine web. Si vous ne savez pas où ils sont, il y a fort à parier qu'ils sont à la racine.
• Restreindre l'accès par mot de passe sur les dossiers, pas seulement par URL secrète. Un dossier « plan de reprise » protégé par un nom compliqué reste un dossier public si son URL fuite.

Sur les six derniers sites que j'ai audités, quatre avaient au moins un fichier de factures ou un export de contact accessible. Pas quatre entreprises négligentes : quatre entreprises qui pensaient que « ce n'était pas indexé ».

Questions qu'on me pose souvent

Est-ce que le google dorking est gratuit ?

Oui, entièrement gratuit. Aucun outil payant n'est requis : la barre de recherche Google suffit. Il existe des interfaces qui automatisent les requêtes (les fameuses bases de dorks), mais elles ne font que générer les mêmes opérateurs. Vous pouvez tout faire à la main, et c'est même préférable pour comprendre ce que vous faites.

Faut-il télécharger un PDF de Google Dorks ?

Non, et je déconseille même de s'en servir comme point de départ. Les gros PDF « 1001 dorks » circulent depuis des années, ils sont souvent obsolètes (Google a supprimé plusieurs opérateurs) et ils contiennent des requêtes ciblant des logiciels précis, sans aucun contexte. C'est un catalogue de requêtes décontextualisées. Mieux vaut apprendre cinq opérateurs et les combiner vous-même.

Comment utiliser le google dorking correctement ?

La règle que je donne : une requête, un objectif légitime. Avant de lancer une combinaison, demandez-vous ce que vous cherchez et pourquoi. Si votre requête vise à obtenir un accès qu'un utilisateur normal n'aurait pas, arrêtez. C'est à ce moment précis que la ligne légale est franchie, pas avant.

Ce que le dorking m'a appris sur le web

Le dorking ne m'a pas rendu plus paranoïaque. Il m'a rendu plus attentif à une chose très simple : ce que l'on met en ligne existe publiquement, que l'on décide ou non de le savoir.

La blague du stagaire de mon client s'est bien terminée. On a retiré les PDF, ajouté un noindex, refait le robots.txt. Il m'a demandé combien ça coûtait. Réponse : une demi-journée, et surtout la décision de vérifier.

La vraie question n'est peut-être pas « comment fonctionne le google dorking ». C'est : avez-vous déjà tapé site:votredomaine.fr filetype:pdf ? Si vous ne l'avez jamais fait, faites-le maintenant. Avant que quelqu'un d'autre ne le fasse à votre place.