Vous tapez une URL dans la barre de recherche et vous tombez sur un fichier Excel contenant des mots de passe en clair. Ça vous est déjà arrivé ? Moi oui. Et la première fois, j'avoue, j'ai eu un frisson. Pas de joie, de panique. Parce que ce n'était pas mon fichier. C'était celui d'une petite entreprise qui avait laissé son annuaire interne accessible. Tout ça parce que quelqu'un avait utilisé un opérateur de recherche un peu trop bien ficelé. C'est ça, le Google Dorking.
Points clés à retenir
- Le Google Dorking, c'est l'utilisation d'opérateurs de recherche avancée pour trouver des informations que Google a indexées… mais que le propriétaire du site n'a pas protégées.
- Les opérateurs essentiels sont
site:,inurl:,filetype:,intitle:et les guillemets pour une phrase exacte. - Ce n'est pas un hack : ce que vous trouvez est public. Mais l'usage éthique est une ligne rouge à ne pas franchir.
- Un site peut se protéger en partie via
robots.txtet en évitant d'exposer des fichiers sensibles. - Google lui-même peut limiter certaines requêtes trop agressives.
- Un cas d'usage légitime est l'audit de votre propre infrastructure numérique.
Qu'est-ce que le Google Dorking ?
Bon, commençons par une mise au point. Le mot « dork » en anglais, ça veut dire « idiot ». À l'origine, l'expression « Google Dork » désignait… l'idiot de chez Google. Sauf que cette personne n'existe pas. Alors le terme a été recyclé pour désigner une technique. Les Google Dorks sont des combinaisons de mots-clés reconnus par le moteur de recherche (des opérateurs de recherche avancés). Ces combinaisons sont utilisées pour affiner les critères de recherche. Et devinez qui les a popularisées ? Les attaquants, en phase de repérage d'une attaque.
Franchement, quand j'ai entendu ça pour la première fois, il y a quelques années, je me suis dit : « Attends, on peut vraiment trouver des fichiers confidentiels avec une simple recherche Google ? » La réponse est oui. Et c'est à la fois fascinant et terrifiant.
Ce qui rend le Google Dorking si puissant, c'est sa simplicité. Pas besoin d'outil compliqué. Une barre de recherche. Un esprit curieux. Et une connaissance de base des opérateurs.
Les opérateurs essentiels
Les commandes Google Dorks sont la clé. En voici les plus courantes, celles que j'utilise moi-même quand je veux vérifier l'exposition de mon propre site.
site:– pour cibler un domaine précis. Exemple :site:exemple.com.inurl:– pour filtrer par terme dans l'URL. Exemple :inurl:admin.filetype:– pour un format spécifique. Exemple :filetype:pdf." "(les guillemets) – pour une chaîne de caractères exacte. Exemple :"mot de passe".intitle:– pour un mot dans le titre de la page.
Avec ces cinq-là, on peut déjà faire des merveilles. Ou des dégâts, selon l'intention.
Google Dorking : exemples concrets
Je vais être très clair : je ne donne pas ici de quoi pirater qui que ce soit. Je donne des exemples pour que vous compreniez comment ça marche et pourquoi vous devez vous protéger.
Prenons un cas que j'ai croisé lors d'un audit pour un client. Leur site marchand avait une page de connexion administrative à l'adresse /backoffice. Rien d'anormal. Sauf que cette page n'était pas protégée par un mot de passe. Google l'avait indexée. Voici ce qu'un attaquant aurait tapé :
site:exemple.com inurl:backoffice
Résultat : la page s'affiche dans les résultats. Un clic, et on tombe sur un panneau d'administration sans aucune authentification. J'ai dû insister lourdement pour que mon client mette un .htaccess et bloque les robots d'indexation.
Autre exemple, plus frappant. Une recherche du type :
filetype:xls "mot de passe" site:exemple.com
Permet de trouver des fichiers Excel contenant le terme « mot de passe ». J'ai déjà vu des fichiers remontant avec des colonnes entières de mots de passe en clair. C'est une plaie.
Et le pire, c'est que ça marche avec des listes de Google Dorks toutes faites, qu'on trouve gratuitement en ligne. Pas besoin d'être un génie.
Un outil pour tout le monde… ou presque
Il existe même des Google Dorking tools qui automatisent les requêtes. Des sites web avec interface graphique qui vous permettent de lancer des « dorks » pré-écrits sans taper une ligne. Je les ai testés, il y a quelques années, par curiosité. Certains sont très complets. D'autres, bourrés de liens morts. Mais l'idée est là : rendre la technique accessible à n'importe qui.
| Approche | Complexité | Risque | Cas d'usage |
|---|---|---|---|
| Manuel (barre Google) | Faible | Faible | Audit ponctuel |
| Script automatisé | Moyenne | Moyen | Analyse de masse |
| Outil graphique en ligne | Très faible | Variable | Découverte rapide |
Google Dorking gratuit et liste
Le Google Dorking est gratuit. Évidemment. Le moteur de recherche est gratuit. Les opérateurs sont gratuits. Les listes de « dorks » aussi. Vous tapez « Google Dorking liste » dans votre barre de recherche, et vous tombez sur des pages entières de requêtes pré-écrites.
Attention toutefois. Beaucoup de ces listes sont obsolètes. Google, en 2026, a serré la vis. Certaines requêtes qui marchaient il y a trois ans ne donnent plus rien. Le moteur supprime des résultats, limite les opérateurs redondants. J'ai passé un après-midi, l'an dernier, à tester une vieille liste. Résultat : 80 % des requêtes ne renvoyaient rien. Spoiler : j'aurais dû bosser plutôt que de perdre mon temps.
Mais les bases restent valables.
Les trois erreurs que j'ai commises
Quand j'ai commencé à m'intéresser au sujet, j'ai fait des bourdes. Je les partage pour que vous les évitiez.
- Chercher sur mon propre domaine sans déconnexion préalable. Erreur classique : je suis connecté à mon compte Google. Mes résultats sont personnalisés. Je vois ce que Google pense que je veux voir, pas ce qui est vraiment indexé.
- Utiliser des opérateurs incompatibles. Certains opérateurs ne fonctionnent pas ensemble. Par exemple,
site:etlink:(aujourd'hui obsolète) provoquent des erreurs. - Ne pas vérifier les résultats. Google affiche des extraits de page, mais parfois la page cible a été modifiée ou supprimée. Toujours cliquer pour vérifier.
Comment utiliser Google Dorking pour s'auditer
Voilà l'usage légitime par excellence. Vous voulez savoir ce que Google sait de votre site. Faites-le vous-même, avant qu'un autre ne le fasse.
Commencez par : site:votredomaine.com. Regardez ce qui est indexé. Ensuite, affinez : site:votredomaine.com filetype:pdf, site:votredomaine.com inurl:admin, site:votredomaine.com intitle:confidentiel.
Si vous trouvez quelque chose qui ne devrait pas être là, deux solutions : soit vous le supprimez du serveur, soit vous le bloquez dans le fichier robots.txt. Mais attention : le robots.txt n'est pas une protection absolue. Il empêche l'indexation, mais pas l'accès direct si quelqu'un connaît l'URL.
La meilleure défense, c'est de ne pas exposer de données sensibles, tout simplement. Pas de fichier Excel avec mot de passe à la racine du site. Pas de page admin sans authentification. Ça paraît évident, et pourtant…
Vous pouvez vous protéger
Au-delà de robots.txt, il y a des mesures plus radicales. Par exemple, utiliser un fichier .htaccess pour restreindre l'accès à certaines pages par IP. Ou encore, exiger une authentification HTTP pour les répertoires sensibles. Et bien sûr, ne jamais, jamais stocker de fichiers contenant des mots de passe en clair sur un serveur web.
J'ai aussi vu des sites utiliser un noindex dans le code HTML de leurs pages d'administration. C'est mieux que rien, mais un attaquant un peu tenace peut toujours trouver des moyens de contourner.
Les limites du Google Dorking
Ce n'est pas une baguette magique. Google limite le nombre de requêtes que vous pouvez faire en un temps donné. Si vous lancez 50 requêtes à la seconde, vous serez bloqué. Les opérateurs évoluent ; certains sont dépréciés. Et surtout, ce que vous trouvez dépend de ce que Google a indexé. Si un site est bien protégé, vous ne verrez rien.
Le Google Dorking, c'est un outil de repérage. Pas de compromission. Ça ne craque pas un mot de passe. Ça ne contourne pas une authentification. Ça révèle ce qui est déjà public, mais mal configuré.
Et là, je termine par une question : quand avez-vous vérifié pour la dernière fois ce que Google sait de votre site ? Pas cette semaine ? Ce mois-ci ? Alors vous savez ce qu'il vous reste à faire.
