Challenges OSINT : 7 sites pour s'entraîner aux CTF (2026)

Qu'est-ce qu'un challenge OSINT ?

Les challenges OSINT sont des énigmes où vous répondez à une question d'enquête grâce au renseignement en sources ouvertes : des informations accessibles publiquement, comme les publications sur les réseaux sociaux, les métadonnées d'images, les enregistrements DNS et WHOIS, les dépôts de code et les pages web archivées. La réponse est le flag, en général un lieu, un nom, une adresse e-mail ou une date.

Ils existent sous trois formes, et savoir laquelle vous avez devant vous évite beaucoup de frustration :

• Les challenges de type CTF ont un champ de réponse et un classement. Quelqu'un a créé un personnage fictif ou semé les indices, et une seule réponse est acceptée. C'est ce que vous trouvez dans la catégorie OSINT de la plupart des compétitions CTF.
• Les exercices ouverts vous donnent une mission et une solution rédigée, mais pas de champ de réponse. Vous décidez quand vous êtes sûr de vous, puis vous comparez votre raisonnement avec celui de l'auteur. C'est plus proche du vrai travail d'enquête.
• Les enquêtes en direct vous placent sur un cas réel. La plus connue est la Search Party de Trace Labs, où les flags sont des pistes sur de vraies personnes disparues, validées par des juges puis transmises aux forces de l'ordre.

L'OSINT est une excellente première catégorie pour débuter. Notre guide pour commencer les CTF quand on est débutant conseille de choisir une catégorie et d'y devenir bon avant de vous disperser, et l'OSINT est celle qui demande le moins d'installation : un navigateur, un bloc-notes et de la curiosité.

C'est aussi la première compétence qu'utilisent les attaquants. La tactique Reconnaissance (TA0043) de MITRE ATT&CK décrit comment de vrais adversaires collectent des informations sur l'identité de leurs victimes, fouillent des sites ouverts et interrogent des bases de données techniques publiques avant de toucher une cible. Chaque challenge OSINT que vous résolvez entraîne ce même réflexe, du côté des défenseurs.

Les 7 meilleurs sites pour pratiquer les challenges OSINT

La liste va du plus guidé au plus ouvert. Ne sautez pas directement à la fin : une enquête en direct sans bases solides, c'est quatre heures à faire défiler des profils et zéro flag.

1. Daily Hack de HackerDNA : des tableaux OSINT guidés

Le Daily Hack de HackerDNA, c'est un challenge court et autonome par jour, gratuit et dans le navigateur. Beaucoup sont des tableaux OSINT : vous ouvrez un ensemble de sources (un e-mail, un enregistrement WHOIS, un historique de commits, un profil de forum), vous les recoupez et vous soumettez une seule réponse.

Les anciens Daily Hacks OSINT ont demandé aux joueurs de nommer la ville où une photo de vacances avait été prise grâce à son GPS EXIF et à une ligne de tram en arrière-plan, de démasquer un compte anonyme qui réutilisait le même pseudo sur un dépôt de code, un réseau social et un forum, et de retrouver le vrai titulaire d'un domaine caché derrière la confidentialité WHOIS en lisant les e-mails des auteurs dans les commits publics de l'entreprise. Chacun est conçu pour prendre quelques minutes, pas des heures, et les anciens puzzles restent dans les archives avec une solution complète qui explique la résolution.

Pourquoi commencer ici : les CTF OSINT punissent les débutants qui ne savent pas quel pivot essayer ensuite. Un tableau vous montre que le pivot existe, donc vous apprenez le schéma avant de devoir le trouver seul.

2. OSINT Dojo : une feuille de route gratuite avec badges

OSINT Dojo veut, selon ses propres mots, « guide those new to Open Source Intelligence (OSINT) through the first steps of their journey » : accompagner les débutants dans leurs premiers pas en OSINT. Le site propose une feuille de route simple, des ressources gratuites, des « simple challenges that build on one another » (des challenges simples qui s'enchaînent) et des badges à obtenir et à afficher.

Sa page de ressources est le favori le plus utile de tout ce guide. Elle classe les challenges en CTF (Kase Scenarios, les CTF de Trace Labs et plusieurs rooms TryHackMe, dont OhSINT, Sakura, SearchLight et Geolocating Images) et en quiz (Quiztime Crew, l'OSINT Quiz de Sector035, SEINT_pl). La même page range les outils par usage : Sherlock, Maigret et WhatsMyName pour les pseudos, la Wayback Machine et Archive.is pour les pages supprimées, Overpass Turbo pour les recherches cartographiques.

3. Les rooms OSINT de TryHackMe : OhSINT et Sakura

Si vous voulez que votre premier cas OSINT ressemble à un CTF classique, la room OhSINT de TryHackMe est le point de départ habituel. Elle est notée facile, avec une durée estimée de 60 minutes, et part d'une seule image : chaque réponse vient des indices cachés dans cette photo, que vous suivez de proche en proche, un outil gratuit à la fois.

La room Sakura est une suite très appréciée, une enquête plus longue qu'OSINT Dojo référence juste à côté d'OhSINT. Vérifiez le niveau d'accès de chaque room en l'ouvrant, car certaines rooms TryHackMe sont réservées aux abonnés.

4. Exercices OSINT Gralhix : un vrai travail de vérification

Sofia Santos a commencé sa liste d'exercices OSINT en décembre 2022, et elle en compte aujourd'hui 32. Chaque exercice comporte une à quatre tâches et une note de difficulté distincte pour les novices et pour les experts.

La règle qui définit le projet est dans sa description : « No answer boxes, just like in the real world » (pas de champ de réponse, comme dans la vraie vie). Chaque exercice a une solution complète que vous lisez après vous être engagé sur une réponse. Ce format est inconfortable au début, et c'est tout l'intérêt. Les vrais enquêteurs n'ont jamais de coche verte. Ils ont une conclusion qu'ils doivent défendre.

Commencez par les exercices les plus récents, en bas de la liste. L'autrice précise qu'ils sont plus difficiles, mais qu'on trouve moins de solutions qui circulent en ligne, donc vous avez plus de chances de les résoudre honnêtement.

5. Sourcing.Games : des énigmes OSINT venues du recrutement

Sourcing.Games est une collection de 43 jeux d'énigmes numérotés créés par Jan Tegze, à l'origine pour les recruteurs et les sourceurs, ces professionnels dont le métier est de dénicher en ligne des candidats introuvables. Beaucoup ont été écrits pour les hackathons SourceCon et les compétitions Grandmaster. Le jeu n°15 est présenté comme le premier Sourcing.Game consacré à l'OSINT.

La FAQ est claire sur deux points. Tout le monde peut jouer (« Games I created are open for everybody »), et l'inscription est gratuite : certains niveaux demandent un compte, d'autres non. Elle est tout aussi claire sur l'absence d'indices : « If you are stuck, that's life » (si vous êtes bloqué, c'est la vie). Attendez-vous à manipuler des URL, lire du code source, résoudre des chiffrements et chercher des personnes. Certains vieux niveaux cassent quand un site tiers change, ce qui est en soi une leçon sur la fragilité des preuves en ligne.

6. CTF d'OSINT Industries : des challenges hebdomadaires et un classement

La plateforme CTF d'OSINT Industries est gérée par l'entreprise derrière l'outil de recherche OSINT Industries et repose sur CTFd, le même moteur open source que de nombreuses compétitions CTF. Elle promet des « weekly OSINT challenges, progressive difficulty, realistic investigations, and a public leaderboard » (des challenges OSINT hebdomadaires, une difficulté progressive, des enquêtes réalistes et un classement public), pour tout le monde, « whether you are a beginner or a professional ».

Il faut créer un compte pour voir les challenges, et un serveur Discord sert aux échanges. C'est le rythme hebdomadaire qui fait sa valeur : un nouveau challenge chaque semaine installe l'habitude bien mieux qu'un week-end marathon une fois par an.

7. Search Party de Trace Labs : l'OSINT au service des personnes disparues

Trace Labs est une association à but non lucratif qui organise la Search Party CTF, le challenge OSINT le plus utile auquel vous puissiez participer. Des équipes de quatre personnes maximum enquêtent sur l'empreinte en ligne de vrais cas de personnes disparues. Chaque flag est une piste potentielle, soumise avec sa source pour que des juges bénévoles puissent la valider, et Trace Labs compile les résultats dans des rapports de renseignement destinés aux forces de l'ordre.

Les points reflètent l'utilité d'une piste. Selon le système de notation publié par Trace Labs :

• Friends and Family (amis et famille) : 10 points
• Employment, Romantic Partners, Basic Subject Info (emploi, partenaires, informations de base) : 50 points
• Advanced Subject Info, Day Last Seen (informations avancées, jour de la disparition) : 250 points
• Advancing the Timeline (preuves d'activité après la disparition) : 1 000 points
• Location (localisation) : 5 000 points

L'événement virtuel du 15 novembre 2025 a duré quatre heures, était limité à 200 billets, a réuni 73 équipes actives et a été remporté avec 28 300 points. Trace Labs organise aussi des Search Parties en présentiel lors de conférences comme la DEF CON. Consultez leur site pour la prochaine date, car les billets partent vite.

N'en faites pas votre premier challenge OSINT. Venez quand vous savez rebondir d'un pseudo vers trois plateformes en moins de dix minutes, et lisez les règles deux fois (on y revient plus bas).

Cinq techniques qui résolvent la plupart des CTF OSINT pour débutants

Les challenges OSINT pour débutants sont construits à partir d'un petit nombre de mouvements. Maîtrisez ces cinq-là et vous reconnaîtrez le schéma derrière la plupart d'entre eux. Notre guide complet des outils OSINT détaille chaque outil cité ici.

1. Lisez d'abord les métadonnées

Les photos contiennent souvent des données EXIF : modèle d'appareil, horodatage et parfois coordonnées GPS. Vérifiez toujours avant de plisser les yeux sur des panneaux de rue :

exiftool -a -G1 photo.jpg | grep -iE "gps|date|model"

Les auteurs de challenges connaissent l'astuce, donc un résultat vide est fréquent, et la plupart des grands réseaux sociaux suppriment de toute façon les EXIF des photos au moment de l'envoi. Mais quand les coordonnées sont là, le challenge est à moitié résolu en cinq secondes.

2. Faites une recherche d'image inversée sur plusieurs moteurs

Google Lens, Bing Visual Search, Yandex Images et TinEye indexent chacun des parties différentes du web et comparent les images différemment. Recadrez l'image sur l'élément distinctif (un bâtiment, un logo, une devanture) au lieu de chercher l'image entière. En pratique, le recadrage améliore davantage vos résultats que le changement de moteur.

3. Pivotez sur les pseudos

Les gens réutilisent leurs pseudos. Un seul pseudo trouvé dans un challenge mène généralement à d'autres comptes. WhatsMyName (dans le navigateur) et Sherlock (en ligne de commande) vérifient des centaines de sites d'un coup :

sherlock m_bianchi

Traitez chaque résultat comme une piste, pas comme une preuve. Ouvrez le profil, comparez l'avatar, le style d'écriture et les dates, et seulement ensuite reliez-le à votre cible.

4. Remontez le temps avec les archives

La page dont vous avez besoin a souvent été modifiée ou supprimée, et c'est voulu dans beaucoup de challenges. La Wayback Machine conserve d'anciennes captures, et son API CDX liste toutes les captures d'un site en une seule requête :

curl "https://web.archive.org/cdx/search/cdx?url=nimbus-labs.example/*&output=json&limit=20"

Le même instinct s'applique au code : un historique de commits garde les noms et e-mails des auteurs longtemps après le nettoyage d'un README. git log --format='%an <%ae>' | sort -u sur un dépôt cloné liste toutes les identités qui y ont un jour commité.

5. Lisez l'image comme une carte

Les challenges de géolocalisation se résolvent grâce aux petits détails : la langue d'un panneau, le côté de la route où roulent les voitures, la forme du marquage au sol, l'indicatif d'un numéro de téléphone sur une vitrine, l'angle des ombres. Réduisez à un pays, puis à une ville, puis confirmez sur Google Street View ou OpenStreetMap. Overpass Turbo permet d'interroger OpenStreetMap sur des combinaisons comme « une pharmacie à côté d'un arrêt de tram », ce qui transforme une intuition en courte liste de candidats.

Comment aborder n'importe quel challenge OSINT

La plupart des débutants ne bloquent pas par manque d'outils. Ils bloquent parce qu'ils cherchent au hasard et perdent le fil de ce qu'ils savent déjà. Cette méthode règle le problème :

1. Reformulez la question. « Où a été prise cette photo ? » est vague. « Quelle ville, et le format du flag la veut en minuscules » est une cible.
2. Listez tous les indices avant de chercher. Notez chaque nom, pseudo, date, texte visible et objet. Les indices que vous avez sautés sont justement ceux que l'auteur a placés.
3. Choisissez le pivot le plus fort. Un pseudo unique ou des coordonnées GPS exactes valent mieux qu'un prénom courant. Commencez par ce qui réduit le plus la recherche.
4. Notez chaque source. Gardez l'URL, ce qu'elle vous a appris et quand vous l'avez trouvée. Trace Labs exige une source pour chaque flag, et c'est une bonne habitude bien avant d'en arriver là.
5. Confirmez avec une seconde source indépendante. Un profil qui dit « Lisbonne », c'est une piste. Des coordonnées EXIF plus un monument reconnaissable, c'est une réponse.
6. Arrêtez-vous et lisez la solution quand vous êtes vraiment bloqué. Après une heure honnête, une solution rédigée vous apprend plus qu'une heure de plus à deviner. Notez le pivot que vous avez manqué.

En pratique, la façon classique de rater un challenge OSINT n'est pas de passer à côté de la réponse. C'est de trouver la bonne réponse tôt, de ne pas la vérifier, puis de l'abandonner une heure plus tard pour une piste plus excitante mais fausse. Votre journal de sources est ce qui vous en protège.

Les challenges OSINT dans les compétitions CTF classiques

Beaucoup de CTF de type jeopardy proposent une catégorie OSINT à côté du web, de la crypto et du forensic. Ces challenges sont généralement courts : identifier un lieu, retrouver une publication supprimée, remonter la piste d'un employé d'une entreprise fictive. Ce sont souvent les premiers points que marque une nouvelle équipe, ce qui les rend parfaits pour prendre confiance.

Quelques différences avec les plateformes ci-dessus :

• Le personnage est fictif. Les organisateurs créent des comptes et des publications spécialement pour l'événement. Si votre recherche vous mène à une vraie personne qui ne fait clairement pas partie du jeu, vous avez fait fausse route. Arrêtez-vous là.
• Les formats de flag sont stricts. Lisez les règles de format : les noms de ville, les dates et les coordonnées sont généralement attendus sous une forme précise.
• La pression du temps est réelle. Un événement de 48 heures ne laisse pas de place pour trois heures perdues dans une impasse. Limitez le temps passé sur chaque challenge et passez au suivant.

Pour trouver des événements avec une catégorie OSINT, parcourez les compétitions à venir sur CTFtime et lisez leur liste de catégories avant de vous inscrire. Notre guide des compétitions CTF explique comment lire CTFtime, ce que signifie le poids d'un événement et quels événements conviennent à une équipe qui débute.

Un plan d'entraînement OSINT pour la première semaine

Voici un plan qui demande 30 à 60 minutes par jour et vous mène à votre premier challenge ouvert d'ici le week-end :

1. Jour 1 : lisez la page de ressources d'OSINT Dojo et ajoutez à vos favoris WhatsMyName, la Wayback Machine et deux moteurs de recherche d'image inversée. Résolvez le Daily Hack du jour.
2. Jour 2 : installez ExifTool et Sherlock. Lancez-les sur vos propres photos et votre propre pseudo pour voir ce que vous laissez fuiter.
3. Jour 3 : terminez la room OhSINT de TryHackMe sans solution. Notez chaque source au fur et à mesure.
4. Jour 4 : choisissez un exercice Gralhix. Rédigez votre réponse et votre raisonnement avant d'ouvrir la solution, puis comparez.
5. Jour 5 : jouez les un ou deux premiers niveaux d'un jeu Sourcing.Games et inscrivez-vous sur le CTF d'OSINT Industries.
6. Week-end : résolvez le challenge en cours sur OSINT Industries, puis trouvez sur CTFtime un CTF avec une catégorie OSINT et inscrivez-vous.

Le jour 2 est celui que tout le monde saute, et celui qui marque le plus. Voir votre vieux compte de forum apparaître dans une recherche de pseudo change votre façon de penser à ce que vous publiez.

Considérations légales et éthiques

• Uniquement du passif. Consulter des informations publiques, c'est de l'OSINT. Se connecter au compte de quelqu'un, déclencher une réinitialisation de mot de passe pour voir si une adresse e-mail est inscrite ou envoyer une demande d'ami, ce n'en est pas. Les règles de la Search Party de Trace Labs interdisent tout cela et disqualifient les joueurs qui les enfreignent.
• Ne contactez jamais quelqu'un lié à une affaire. Lors d'une enquête en direct, vous n'écrivez ni à la personne concernée, ni à sa famille, ni à ses amis, ni aux médias, ni à la police. Les découvertes passent par les organisateurs.
• Restez dans le jeu. Si une piste de CTF vous mène à une vraie personne qui n'est clairement pas le personnage fictif, arrêtez-vous. Ne continuez pas à fouiller la vie de quelqu'un qui n'a jamais accepté de devenir une énigme.
• Ne publiez pas de données personnelles. Les comptes rendus sur des cas réels ne doivent jamais contenir les noms, adresses ou photos que vous avez découverts. Expliquez la méthode, pas la personne.
• Le doxing n'est pas de l'entraînement OSINT. Utiliser ces techniques contre un camarade de classe, un ex ou un adversaire en ligne peut constituer du harcèlement et, dans de nombreux pays, un délit.

Questions fréquentes