Google dorking : 12 requêtes secrètes qui changent tout

Vous tapez site:entreprise.fr filetype:pdf dans la barre de recherche, vous appuyez sur Entrée, et au lieu de dix liens soigneusement rédigés par un service marketing, vous tombez sur un devis interne daté de 2019, une note de réunion sur une acquisition, et trois CV de candidats. Tout ça, indexé par Google, accessible à n'importe qui, sans mot de passe.

Ça m'est arrivé la première fois chez un client il y a quelques années. Je cherchais juste à comprendre leur structure de site pour un audit SEO. J'ai trouvé leur grille de tarifs interne. Le lendemain, je leur ai envoyé un mail. Ils m'ont répondu, un peu gênés, qu'ils savaient « plus ou moins » que ces documents traînaient quelque part. « Plus ou moins », c'est le problème.

Le google dorking, c'est cette technique qui consiste à utiliser la syntaxe avancée du moteur pour faire remonter ce qu'une recherche normale cache. On l'appelle aussi google hacking. Et non, ce n'est pas réservé aux pentesters en capuche : c'est un outil de veille, un réflexe OSINT, et une compétence défensive que trop de webmasters ignorent encore.

Qu'est-ce que le google dorking, concrètement ?

Oubliez la définition Wikipédia. Le google dorking, c'est l'art de parler à Google comme à une base de données. Au lieu d'écrire une question en langage naturel, vous posez une requête structurée : « donne-moi tous les fichiers PDF de ce domaine dont le titre contient le mot "confidentiel" ». Le moteur ne réfléchit pas, il exécute. Et c'est là tout le problème.

La différence avec une recherche normale

Une recherche classique classe par pertinence. Une requête dork filtre par propriété technique : type de fichier, emplacement dans l'URL, présence d'un mot dans le titre ou le corps. Le classement passe au second plan, la précision prend la main.

Concrètement, si vous cherchez « rapport annuel 2026 » sur le site d'une PME, vous obtenez la page qu'ils veulent vous montrer. Si vous tapez site:pme-exemple.fr filetype:xlsx, vous obtenez tous les tableurs indexés sur leur domaine. Y compris ceux qu'ils ont oubliés.

Pourquoi le moteur laisse passer tout ça

Google indexe ce qu'il trouve. Point. Si un fichier est accessible par une URL et qu'aucune directive ne l'interdit, le robot le récupère, l'analyse, et le stocke. Aucun humain ne valide. Aucun comité ne se réunit pour dire « tiens, cette fiche de paie est peut-être de trop ». C'est de l'automatisation pure, et c'est précisément ce qui rend le google dorking si efficace : les fuites ne sont pas des failles, ce sont des oublis.

Les opérateurs qui fonctionnent encore (et ceux qui ont disparu)

Ici, je vais être franc : la majorité des tutoriels que vous trouverez en ligne sont périmés. Ils recopient des listes de 2016 sans vérifier. J'ai refait le tour des opérateurs sur mes propres projets et sur des domaines de test — voilà ce qui tient debout aujourd'hui.

Opérateur	Ce qu'il fait	Statut
site:	Restreint à un domaine ou sous-domaine	Fonctionne, pilier du dorking
filetype:	Filtre par extension (pdf, xlsx, docx…)	Fonctionne bien
intitle:	Mot obligatoire dans le titre de la page	Fonctionne
inurl:	Mot obligatoire dans l'URL	Fonctionne, mais résultats moins fiables qu'avant
intext:	Mot obligatoire dans le corps de la page	Fonctionne
cache:	Affichait la version en cache d'une page	Retiré
ext:	Alias de filetype:	Toujours accepté

Le retrait de cache: a cassé une bonne partie des méthodes de vérification rapide qu'on utilisait pour voir une page sans la charger. Franchement, ça m'a gêné au début. Il faut passer par d'autres moyens maintenant (l'outil de cache de la Wayback Machine, par exemple), ce qui rallonge le travail.

Un exemple complet qui marche vraiment

Prenons une requête utile pour un audit de sécurité, pas pour espionner le voisin :

site:mondomaine.fr (ext:pdf OR ext:docx) (intext:"confidentiel" OR intext:"mot de passe" OR intext:"interne")

Cette ligne interroge votre propre domaine et fait remonter tout document bureautique contenant l'un de ces trois termes sensibles. Sur un site que j'ai audité, elle a sorti onze fichiers dont deux contenaient des identifiants de connexion en clair. Onze. Sur un site de moins de 200 pages.

Attention à la syntaxe : les parenthèses regroupent, OR doit être en majuscules, et les guillemets sont obligatoires pour les expressions multi-mots. Si vous sautez les guillemets, Google cherche les mots séparément et vous noie sous le bruit.

Comment utiliser le google dorking pour protéger votre propre site

C'est la partie que presque personne ne traite. Tout le monde veut la liste de dorks « stylée » pour scanner les autres. Personne ne veut savoir ce que son propre domaine expose. Et pourtant, dans mon expérience, c'est là que se trouve 90 % de la valeur.

Détecter que vous êtes dorké

La méthode la plus simple ne demande aucun outil. Tapez site:votredomaine.fr filetype:pdf. Puis refaites la même chose avec xlsx, docx, txt, sql, log, env. Ce dernier est le plus parlant : un fichier .env indexé, c'est une clé d'API qui traîne. J'en ai trouvé un, une fois, sur un projet WordPress mal configuré. Le fichier contenait les accès à la base de données. Le site était en production.

Si quelque chose remonte, plusieurs pistes :

• Vérifier dans Google Search Console l'onglet « Pages » et le rapport d'exploration : vous y verrez ce qui est indexé sans que vous l'ayez voulu.
• Mettre en place une alerte Google sur site:votredomaine.fr filetype:votreextension — ça vous prévient si un nouveau fichier apparaît.
• Regarder les logs serveur pour repérer des requêtes entrantes contenant filetype: ou inurl: : c'est souvent le signe qu'on vous scanne.

Les parades techniques qui tiennent

Trois niveaux, dans l'ordre d'efficacité :

1. Le robots.txt : utile, mais ce n'est pas un mur. Un robot mal intentionné l'ignore. Ça bloque les moteurs honnêtes, pas les autres.
2. La balise noindex ou l'en-tête X-Robots-Tag: noindex : plus fiable, car c'est le moteur lui-même qui décide de ne pas indexer.
3. L'authentification serveur : la seule vraie protection. Si un document ne doit pas sortir, il ne doit pas être accessible par URL, un point c'est tout. Indexé ou pas.

Et là, petite leçon que j'ai apprise à mes dépens : j'ai longtemps cru qu'un fichier « pas linké depuis nulle part » ne serait pas indexé. Faux. Google peut découvrir une URL par d'autres chemins (fichiers de sitemap oubliés, liens externes, crawl historique). J'ai retrouvé un vieux PDF d'audit indexé alors qu'aucune page ne pointait vers lui. Depuis, je ne compte plus sur l'obscurité — je compte sur les directives.

Est-ce légal, en France, de faire du google dorking ?

Question qu'on me pose à chaque atelier. La réponse est nuancée, mais pas floue.

Consulter une page publique, même trouvée par un dork, n'est pas en soi illégal. Vous regardez ce que Google a rendu public. Le problème commence ailleurs :

• Si vous contournez un mécanisme d'accès (un login, un jeton dans l'URL), vous tombez dans le champ de l'article 323-1 du Code pénal — accès frauduleux à un système de traitement automatisé de données.
• Si vous téléchargez des données personnelles trouvées ainsi, le RGPD s'en mêle, et la CNIL avec.
• Si vous exploitez l'information pour nuire (extorsion, revente), on change carrément de catégorie.

Bref : lire, c'est une chose. Agir, c'est une autre. La frontière n'est pas dans l'outil, elle est dans le geste qui suit. Un pentester qui fait ça dans un cadre contractuel avec autorisation écrite est dans son bon droit. Quelqu'un qui scanne les sites des voisins « pour voir » — même sans rien faire des données — prend un risque qu'il ne mesure pas toujours.

Au-delà de la sécurité : veille et OSINT

Le google dorking n'est pas qu'une affaire de failles. Il sert aussi — et surtout — à trouver de l'information que les moteurs classiques noient.

Un exemple parmi d'autres. Vous cherchez des appels d'offres publics sur un secteur précis. Une recherche classique vous renvoie des portails généralistes. Une requête du type filetype:pdf intitle:"appel d'offres" site:*.gouv.fr vous sort directement les documents. C'est basique, mais ça fait gagner un temps fou quand on fait de la veille concurrentielle ou réglementaire.

Pour l'OSINT (renseignement en sources ouvertes), les mêmes principes s'appliquent : retrouver des documents officiels, des rapports, des listes, des mentions légales cachées. Ce n'est pas du piratage. C'est de la recherche structurée. La nuance vaut la peine d'être rappelée, parce que le terme « google hacking » fait peur à des gens qui en auraient bien besoin.

Attention aux listes de dorks toutes faites

Il existe des bases de dorks téléchargeables partout. Franchement, la plupart sont obsolètes et dangereuses à utiliser aveuglément — les requêtes qui y figurent visent souvent des applications que personne n'utilise plus (des CMS des années 2010, des panneaux d'admin disparus). Les tester sans cadre, c'est au mieux perdre son temps, au mieux se mettre dans une situation légale bancale. Je ne les recommande pas. Comprendre la logique des opérateurs vaut mille fois mieux que recopier une liste de 200 lignes.

Le dorking est-il en train de mourir ?

Non, mais il change.

Du côté de Google, la tendance est claire : restreindre ce qui rend le dorking trop facile. Le retrait de cache: en est l'exemple le plus visible. Les résultats pour inurl: sont moins prévisibles qu'avant. Et surtout, l'indexation par les modèles de langage et les moteurs conversationnels déplace la donne : de plus en plus de gens interrogent une IA au lieu de taper une requête. Or, une IA ne renvoie pas un index brut — elle reformule, filtre, résume. Autrement dit, elle cache précisément ce que le dorking cherche à révéler.

Ça ne rend pas la technique inutile. Au contraire : tant que des documents finiront indexés par erreur, il faudra des outils pour les retrouver. Simplement, le google dorking devient une compétence de spécialiste plutôt qu'un truc qu'on bricole en cinq minutes.

Ce que je retiens, après tout ce temps à trifouiller des requêtes : le dorking n'est ni une arme ni un gadget. C'est un miroir. Il montre exactement ce que votre organisation laisse échapper sans le savoir. La bonne question n'est pas « comment trouver des trucs sur les autres ». C'est : « est-ce que quelqu'un a déjà tapé mon nom de domaine dans cette barre de recherche, et qu'est-ce qu'il a trouvé ? »

Vous devriez répondre à cette question avant quelqu'un d'autre.