Google dorking en 2026 : les techniques avancées pour maîtriser la recherche invisible

Quand j'ai découvert le Google Dorking il y a cinq ans, j'étais persuadé d'avoir mis la main sur un super-pouvoir. Mes collègues me regardaient bizarrement : « Tu tapes quoi dans Google pour trouver des mots de passe ? » Je leur répondais : « Rien d'illégal, c'est juste un opérateur de recherche. »

Bon, j'avais un peu trop vite oublié la morale. Une semaine plus tard, je tombais sur un fichier CSV exposé contenant les emails et mots de passe hachés d'une petite entreprise. J'ai fermé l'onglet et je me suis posé : « C'est ça, le Google Dorking, mais comment on fait pour ne pas finir en garde à vue ? »

Voilà ce que j'ai appris après des centaines d'heures à explorer, tester et surtout me faire taper sur les doigts.

Google Dorking : définition simple et vrai danger

Le terme vient du mot anglais dork – idiot. À l'origine, les Google Dorks désignaient « l'idiot de chez Google ». Mais comme ce type d'idiot n'existe pas, on a recyclé le mot pour désigner les combinaisons d'opérateurs de recherche avancée. C'est ce qu'explique le Glossaire Cyber des Assises de la Cybersécurité : ce sont des combinaisons de mots-clés reconnus par Google, utilisées pour affiner les critères de recherche, et notamment très populaires chez les attaquants en phase de repérage.

Moi, je le vois plutôt comme un détecteur de fuites. Imaginez taper :

filetype:xls "mot de passe" "confidentiel" entreprise:mon-cible

Et là, Google vous sort les fichiers Excel qui traînent sur un serveur oublié. Pas besoin d'être un hacker russe. Un stagiaire avec un navigateur peut trouver ça.

Le vrai danger ? Ces données ne sont pas censées être publiques. Mais un administrateur a mal configuré les droits d'accès, un développeur a laissé un fichier de backup en ligne, un fournisseur a oublié de protéger un répertoire. Et Google les indexe. Résultat : n'importe qui, n'importe où, peut les voir.

Les commandes Google Dorks essentielles (avec exemples vécus)

J'ai commencé par la liste des 5 opérateurs de DataBird (Antoine Giannotta, Responsable Produit). Mais très vite j'ai voulu aller plus loin. Voici ceux que j'utilise quotidiennement, classés par utilité réelle – pas ceux qui font joli dans un slide.

site: – le couteau suisse

Limite les résultats à un domaine spécifique. Exemple vécu : je cherchais des failles sur un site e-commerce pour un client. J'ai tapé site:monsite.com "admin" "password". Résultat : un fichier de configuration exposé. J'ai prévenu le client, il a corrigé en 24h. Sans cet opérateur, j'aurais noyé dans 50 000 résultats.

filetype: – la fouille de fichiers

Recherche par extension (.pdf, .xls, .doc, .sql, .env…). Le plus terrifiant que j'aie trouvé : filetype:sql "INSERT INTO" "password". Un backup de base de données complet, avec 15 000 utilisateurs, en ligne. L'entreprise ne l'a jamais su (je les ai contactés anonymement).

intitle: et inurl: – la précision chirurgicale

intitle:"index of" "backup" – ça donne des listes de répertoires ouverts. inurl:admin login – des pages d'administration non protégées. J'ai trouvé un jour une interface de gestion de serveur Windows avec un mot de passe par défaut. J'ai juste fermé l'onglet. Franchement, ça fait froid dans le dos.

cache: – l'archive fantôme

Affiche la version mise en cache d'une page. Utile quand le site a supprimé une page sensible mais que Google l'a gardée. J'ai déjà récupéré des pages de login supprimées depuis 6 mois.

Combiner les opérateurs : le vrai pouvoir

Un seul opérateur, ça donne des résultats. Deux ou trois, ça change tout. Exemple :

site:entreprise.com filetype:xls intitle:"mot de passe" -"exemple"

Le -"exemple" exclut les résultats bidons. J'ai mis des mois à comprendre que le vrai gain venait de la combinaison, pas de l'opérateur isolé.

Opérateur	Exemple	Utilité réelle
site:	site:moncible.com "confidentiel"	Trouver des docs sensibles sur un domaine
filetype:	filetype:pdf "rapport financier" 2024	Documents métier non protégés
intitle:	intitle:"index of" "backup"	Répertoires ouverts avec vieux fichiers
inurl:	inurl:wp-admin	Pages d'administration WordPress
cache:	cache:monsite.com/page-secrete	Récupérer une page supprimée mais en cache
link:	link:monsite.com	Sites qui pointent vers vous (SEO)

Quels sont les sites secrets de Google ?

Ah, les fameux Easter Eggs. Google en cache quelques-uns, mais attention : ce ne sont pas des sites secrets au sens de données cachées. C'est plutôt du fun pour développeurs.

En voici quelques-uns que j'ai testés (et qui m'ont fait perdre des heures) :

• Google Klingon : tapez "Google Klingon", cliquez sur "J'ai de la chance" – l'interface passe en langue klingon. Oui, comme dans Star Trek.
• Google Tilt : tapez "tilt" ou "askew" – l'écran penche. Blague garantie entre collègues.
• Do a Barrel Roll : la fenêtre fait un 360°.
• Atari Breakout : allez dans Google Images, tapez "atari breakout" – ça lance une partie de casse-briques.

Mais ne confondez pas ces Easter Eggs avec le vrai Dorking. Les "sites secrets" dont parlent certains forums sont souvent des pages oubliées par les webmasters (pages de test, d'administration, de staging). Ce ne sont pas des secrets voulus par Google – ce sont des fuites.

Est-ce que Google collecte les données ? (et ce que ça change pour le Dorking)

Question naïve ? Pas tant que ça. Google collecte des données pour vous proposer des résultats, oui. Mais la question clé pour un Dorker, c'est : qu'est-ce que Google indexe de mon site ?

Quand j'ai commencé, je croyais que Google voyait tout. La vérité ? Google indexe ce qu'il trouve – et ce qu'il trouve dépend de son crawler. Si un fichier est protégé par un mot de passe, Google ne le voit pas. Si un fichier est dans un réperoire sans lien, Google peut l'ignorer. Mais si un développeur laisse un .env à la racine du site, sans protection, Google l'indexe en quelques jours.

J'ai fait le test : j'ai mis un fichier test_dorking.txt sur un serveur public, sans aucun lien. Google l'a indexé en 48h. Conclusion : si vous ne voulez pas que quelque chose soit trouvé, ne le mettez pas en ligne, même dans un dossier obscur.

Google collecte vos recherches, oui – mais pour améliorer ses résultats, pas pour les exposer. Le vrai problème, ce n'est pas Google, c'est ce que vous laissez traîner.

Comment se protéger du Google Dorking sur son propre site

Après avoir trouvé des vulnérabilités chez trois clients, j'ai mis en place une check-list. La voici :

1. Bloquer l'indexation des répertoires sensibles via robots.txt (mais ne vous y fiez pas à 100%)
2. Utiliser .htaccess ou un mot de passe HTTP pour les dossiers d'admin
3. Supprimer les fichiers de backup (.bak, .old, .sql) du serveur web
4. Ne jamais stocker de mots de passe en clair dans des fichiers accessibles
5. Auditer régulièrement avec des outils comme site:monsite.com filetype:sql
6. Utiliser un pare-feu applicatif (WAF) qui bloque les chaînes de recherche suspectes

J'ai appris ça à mes dépens. Une fois, j'avais laissé un fichier config.php avec les identifiants de base de données sur un serveur de démonstration. Je l'ai retrouvé via Google Dorking 3 semaines plus tard. Aucune intrusion, mais j'ai passé la nuit à changer tous les mots de passe.

Google Dorking éthique : oui, c'est possible

Je vais être cash : 90% des articles sur le Dorking parlent de "hacking". Mais la réalité, c'est que la majorité des utilisations professionnelles sont légitimes. Voici comment je l'utilise sans risquer le tribunal :

• Bug bounty : je cherche des vulnérabilités sur des sites qui autorisent les tests (HackerOne, Bugcrowd). J'ai gagné 500€ un mois en trouvant une exposition de logs.
• Audit interne : mes clients me paient pour vérifier ce que Google voit d'eux. Un cabinet d'avocats a découvert que leur site exposait des dossiers clients via un backup PDF.
• Veille concurrentielle : je cherche ce qu'un concurrent a laissé traîner (mais je ne le télécharge pas – je signale).

La frontière est fine. Ne franchissez pas la ligne rouge : ne téléchargez rien, n'exploitez rien, ne partagez rien. Signalez. Fermez l'onglet. Et si vous trouvez un mot de passe, prévenez le propriétaire via un canal officiel.

Les limites du Google Dorking (ce que personne ne dit)

J'ai passé trois mois à tester des centaines de dorks. Résultat : Google n'est pas une passoire. Depuis 2018, Google a durci ses règles. Certaines recherches trop agressives sont bloquées après 5-6 requêtes. Les CAPTCHAs apparaissent. Et les résultats sont de moins en moins "croustillants".

Autre limite : beaucoup de fichiers que vous trouvez sont faux ou obsolètes. J'ai téléchargé un .sql une fois (par erreur, je vous jure) – il datait de 2009. Inutile.

Enfin, le Dorking ne vous donnera jamais accès à des serveurs. C'est juste une méthode de repérage. La vraie sécurité, c'est ce que vous faites après.

Ce que j'aurais aimé savoir avant de commencer

Si je devais résumer mon expérience du Google Dorking en une phrase : c'est un outil puissant, mais c'est un outil de diagnostique, pas un outil d'attaque. Utilisé correctement, il peut sauver votre boîte d'une fuite de données. Utilisé stupidement, il peut vous exposer à des poursuites.

J'ai fait les deux. J'en suis sorti avec des leçons – et un fichier .pdf que je garde précieusement, celui de ma propre checklist de sécurité. Je vous conseille d'en faire autant.

Et vous, quelle est la première chose que vous allez chercher avec ces opérateurs ?