Outils OSINT : 12 outils gratuits utilisés par les pros

Que sont les outils OSINT ?

Les outils OSINT sont des logiciels qui collectent et corrèlent des informations issues de sources publiques : enregistrements DNS, journaux de transparence des certificats, profils de réseaux sociaux, bases de fuites de données, dépôts de code et index de moteurs de recherche. Ils automatisent des recherches qu'une personne pourrait faire à la main, puis relient les résultats pour rendre les schémas visibles.

Le mot « ouvertes » fait un vrai travail ici. Un outil OSINT interroge des sources que n'importe qui a le droit d'interroger. Dès qu'il attaque un formulaire de connexion par force brute ou scanne les ports d'un hôte que vous n'êtes pas autorisé à toucher, il a cessé d'être de l'OSINT pour devenir du test actif, avec un cadre juridique différent.

MITRE suit formellement cette activité. La tactique Reconnaissance (TA0043) du framework ATT&CK contient 12 techniques, et la plupart décrivent de la collecte purement passive : interroger des bases techniques ouvertes, rassembler des informations d'identité, explorer les sites détenus par la cible. Les vrais attaquants y passent beaucoup de temps, ce qui est un argument raisonnable pour que défenseurs et testeurs en fassent autant.

L'OSINT n'est pas non plus un scan de vulnérabilités. Un scanner vous dit qu'un hôte fait tourner un OpenSSH obsolète. L'OSINT vous dit que cet hôte existe, qui l'administre et comment il s'appelle en interne.

Comment choisir un outil OSINT

Choisissez l'outil selon la question à laquelle vous répondez, pas selon son nombre d'étoiles GitHub. Presque toute enquête se ramène à l'une de ces quatre questions, chacune avec un petit ensemble d'outils qui y répondent bien.

Suivez cet ordre. L'infrastructure définit la frontière de tout le reste, les noms d'employés alimentent le format d'e-mail, les adresses e-mail alimentent les recherches de fuites, et les médias confirment généralement une hypothèse plutôt qu'ils n'en génèrent une.

Dans la pratique, vous utiliserez peut-être cinq outils sur 90 % des missions. Les trente autres existent pour l'enquête annuelle où la cible n'apparaît que sur une plateforme régionale obscure.

Outils OSINT d'infrastructure : cartographier la surface d'attaque

Toute mission commence ici. L'objectif est une liste de noms d'hôtes, de plages d'IP et de services appartenant à la cible, constituée sans envoyer le moindre trafic vers la cible elle-même.

OWASP Amass

Amass est un projet OWASP Flagship et ce qui se rapproche le plus d'un standard pour la découverte d'actifs. Il interroge des dizaines de sources de données, corrèle les résultats et construit un graphe de l'empreinte externe de la cible. Le mode passif ne touche jamais la cible :

amass enum -passive -d example.com

Sur une entreprise de taille moyenne, comptez quelques centaines de sous-domaines en quelques minutes. Amass 5.x a ajouté une base d'actifs, si bien que les résultats persistent d'une exécution à l'autre au lieu d'imposer une nouvelle énumération. Ajoutez des clés d'API SecurityTrails, Shodan et VirusTotal dans le fichier de configuration et le rendement grimpe. Sans clés, cela fonctionne quand même, en plus maigre.

Journaux de transparence des certificats (crt.sh)

Tout certificat TLS publiquement approuvé émis depuis 2018 est inscrit dans un journal de transparence des certificats public et immuable. Autrement dit, le certificat qu'un administrateur a discrètement émis pour staging-internal.example.com est un fait public. Le service crt.sh interroge ces journaux, sans aucun compte :

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Cette seule commande offre le meilleur rapport signal/effort de tout l'OSINT. Elle fait remonter régulièrement des hôtes de développement, de préproduction et d'administration qui n'apparaissent dans aucune wordlist de force brute DNS, parce que personne ne devine jenkins-prod-eu-west-1. Quand je n'ai que cinq minutes sur une nouvelle cible, c'est la commande que je lance.

theHarvester

theHarvester extrait e-mails, sous-domaines, noms d'hôtes et noms d'employés depuis plus de 50 sources passives, dont la transparence des certificats, DuckDuckGo, HackerTarget et Shodan. Il est livré avec Kali, donc rien à installer :

theHarvester -d example.com -b crtsh,hackertarget,duckduckgo

Sa collecte d'e-mails est le vrai atout. Deux ou trois adresses confirmées révèlent la convention de nommage (prenom.nom@, pnom@, prenom@), et cette convention associée à une liste d'employés LinkedIn devient une liste de comptes lors d'une mission red team autorisée.

Shodan

Shodan indexe les bannières de services des hôtes connectés à Internet plutôt que des pages web, ce qui en fait un moteur de recherche pour l'infrastructure. La valeur est dans les filtres :

ssl.cert.subject.CN:"example.com" 200
org:"Example Inc" port:22

La première requête trouve tous les hôtes présentant un certificat pour le domaine, y compris ceux vers lesquels aucun enregistrement DNS ne pointe. La seconde liste le SSH exposé sur les hôtes attribués à l'organisation. Les filtres exigent un compte gratuit, ce qui reste un échange honnête.

Confirmez les résultats par un scan actif une fois autorisé, car les données de Shodan peuvent avoir plusieurs semaines. Notre aide-mémoire Nmap couvre les combinaisons d'options nécessaires.

Outils OSINT pour les personnes et les comptes

L'infrastructure vous dit quoi attaquer. Les personnes vous disent comment vous entrerez, car le phishing et la réutilisation d'identifiants battent les exploits sur la plupart des missions réelles.

Sherlock

Sherlock prend un pseudonyme et le vérifie sur plus de 400 réseaux sociaux, en indiquant lesquels hébergent un compte sous ce nom. La version 0.16.0 exécute les vérifications en parallèle, donc un balayage complet prend moins d'une minute :

sherlock target_username

La sortie demande un filtrage humain. Les pseudonymes courants produisent des dizaines de résultats sans rapport, et certains sites renvoient un 200 pour n'importe quel nom. Sherlock donne des pistes, pas des conclusions. Traitez un résultat comme une page à ouvrir dans un navigateur, jamais comme une preuve d'identité.

WhatsMyName

WhatsMyName est le jeu de données sur lequel reposent réellement la plupart des outils de recherche de pseudonymes. Micah Hoffman l'a lancé en 2015, et il couvre aujourd'hui plus de 700 sites dans un unique fichier JSON maintenu par la communauté, qui précise exactement à quoi ressemble une réponse positive et négative par site. Ce niveau de détail explique qu'il produise moins de faux positifs que les outils qui se contentent de vérifier un HTTP 200.

La version navigateur sur whatsmyname.app ne nécessite aucune installation et filtre par catégorie, ce qui compte quand seules les plateformes de développeurs vous intéressent plutôt que les 700 sites.

holehe

holehe inverse la question : donnez-lui une adresse e-mail et il vous dit lesquels, parmi plus de 120 services, ont un compte enregistré avec cette adresse. Il fonctionne en observant comment les flux de réinitialisation de mot de passe et d'inscription réagissent à une adresse connue par rapport à une adresse inconnue.

holehe [email protected]

C'est l'outil le plus bruyant de la liste. Certaines vérifications déclenchent un e-mail de réinitialisation vers la cible, ce qui peut être acceptable lors d'une évaluation d'ingénierie sociale autorisée et constitue un moyen rapide d'alerter votre sujet lors d'une reconnaissance discrète. Lisez ce que fait chaque module avant de le lancer largement.

Outils de données d'e-mails et de fuites

Une adresse e-mail n'est pas qu'un moyen de contact. C'est une clé de jointure qui relie une personne à travers les corpus de fuites, les commits de code et les inscriptions sur les forums.

Have I Been Pwned est la source de référence. En août 2026, il indexe 1 022 sites compromis couvrant 17 765 749 944 comptes, et il propose une recherche par domaine qui permet à un propriétaire vérifié de voir chaque adresse de son organisation apparaissant dans une fuite. Pour un défenseur qui rédige une politique de réinitialisation des mots de passe, ce seul rapport vaut plus que la plupart des flux de renseignement payants.

Hunter associe les domaines à leur format d'e-mail à partir de sources web publiques, et répond à « à quoi ressemble une adresse dans cette entreprise » plus vite qu'en la reconstituant depuis des communiqués de presse. Son offre gratuite plafonne les recherches mensuelles : suffisant pour une mission, pas pour du volume.

Les dépôts de code relèvent aussi de cette étape, car les développeurs y poussent des secrets en permanence. Une recherche GitHub associant le domaine de la cible à password, api_key ou BEGIN RSA PRIVATE KEY trouve des identifiants valides plus souvent qu'on ne le voudrait. L'historique Git est le piège précis : un secret supprimé dans un commit ultérieur reste dans l'historique du dépôt, parfaitement lisible.

Outils d'image, de document et de métadonnées

Les fichiers transportent bien plus que leur contenu. Une photo peut contenir des coordonnées GPS, un numéro de série d'appareil et un horodatage. Un PDF peut nommer l'auteur, la version du logiciel et le chemin interne depuis lequel il a été enregistré.

ExifTool, de Phil Harvey, lit les métadonnées de pratiquement tous les formats qui en possèdent :

exiftool photo.jpg

Cherchez GPSLatitude, GPSLongitude, CreateDate et Model. Sur les documents, Author et Creator laissent souvent fuiter un nom d'utilisateur interne correspondant au format des comptes de l'entreprise, un pont propre entre un PDF public et un identifiant valide.

Gardez toutefois des attentes réalistes sur les données GPS. Instagram, Facebook, X et la plupart des plateformes modernes suppriment les EXIF à l'envoi. Les coordonnées GPS survivent dans les fichiers téléchargés depuis le site de l'entreprise, envoyés en pièce jointe, ou hébergés sur des plateformes plus petites qui n'ont jamais mis en place ce nettoyage. Dans la pratique, les PDF d'entreprise laissent fuiter bien plus de métadonnées utiles que les photos de réseaux sociaux.

Quand les métadonnées ont disparu, l'image elle-même devient la piste. La recherche d'image inversée sur Google Images, Yandex et TinEye couvre des index différents, et Yandex est nettement plus fort sur les visages et les contenus non occidentaux. Ensuite, c'est du travail manuel : panneaux, plaques d'immatriculation, prises électriques, végétation, direction des ombres.

Google dorking : l'outil OSINT que vous avez déjà

Aucun outil installé ne bat une requête de recherche bien construite. Le Google dorking consiste à employer des opérateurs de recherche pour trouver du contenu que le propriétaire du site n'a jamais voulu voir indexé, et cela ne coûte rien.

• site:example.com -www liste les sous-domaines indexés autres que le site principal.
• site:example.com filetype:pdf remonte chaque PDF indexé, chacun porteur de métadonnées.
• intitle:"index of" site:example.com trouve les listings de répertoires laissés ouverts.
• site:pastebin.com "example.com" attrape les fichiers de configuration et dumps d'identifiants divulgués.
• site:linkedin.com/in "Example Inc" "engineer" construit une liste d'employés sans compte LinkedIn.

La Google Hacking Database sur Exploit-DB catalogue des milliers de ces motifs par catégorie, des panneaux d'administration exposés aux répertoires sensibles. Parcourez-la une fois et vous commencerez à reconnaître les formes au lieu de copier des requêtes.

Deux remarques pratiques. Lancez la même requête sur Bing et DuckDuckGo, car leurs index diffèrent et Bing conserve souvent des pages que Google a abandonnées. Et attendez-vous à un CAPTCHA après une salve de recherches chargées en opérateurs : c'est une limitation de débit, pas un blocage, et ralentir suffit à la résoudre.

Frameworks d'automatisation : SpiderFoot, Recon-ng et Maltego

Une fois que vous savez ce que font les outils individuels, les frameworks les enchaînent et corrèlent la sortie. Ils font gagner du temps, ils ne remplacent pas la compréhension des recherches sous-jacentes.

SpiderFoot (version 4.0) exécute plus de 200 modules contre une cible et présente les résultats dans une interface web. La plupart des modules n'exigent aucune clé d'API. Lancez le serveur en local et pilotez-le depuis le navigateur :

spiderfoot -l 127.0.0.1:5001

Un scan complet de domaine renvoie un volume énorme de résultats, dont beaucoup de bruit. La vue de corrélation est ce qui rend l'outil intéressant : elle regroupe les découvertes en catégories comme les identifiants exposés ou les certificats en fin de vie au lieu de déverser des enregistrements bruts.

Recon-ng utilise un système de modules familier à quiconque a pratiqué Metasploit, avec une base de travail qui persiste entre les sessions. Choisissez-le quand vous voulez une collecte scriptée et reproductible, interrogeable ensuite en SQL.

Maltego est l'outil de graphe. Il représente visuellement les relations, ce qui devient un vrai atout quand une enquête implique des personnes liées à des entreprises liées à des domaines liés à d'autres personnes. L'édition Community est gratuite et inclut 200 crédits mensuels pour interroger Maltego Data : assez pour apprendre l'interface et mener une petite enquête, pas assez pour un travail professionnel soutenu.

Un avis tranché, puisqu'on pose toujours la question. La carte mentale OSINT Framework sur osintframework.com est la ressource OSINT la plus liée d'Internet et l'une des moins utiles pour mener une véritable enquête. C'est un annuaire de liens, dont un bon nombre pointent vers des services fermés depuis des années. Servez-vous-en pour découvrir une catégorie d'outils que vous ignoriez, pas comme méthode de travail.

Construire un workflow OSINT qui ne gaspille pas de temps

Les outils sont la partie facile. Le mode d'échec en OSINT, c'est de collecter une montagne de données sans en tirer la moindre conclusion exploitable.

1. Écrivez la question d'abord. « Cartographier la surface d'attaque externe d'example.com » est une question. « Trouver des trucs sur example.com » n'en est pas une, et cela produit une sortie inexploitable.
2. Collectez l'infrastructure passivement. crt.sh, puis Amass en mode passif, puis Shodan. Enregistrez la sortie brute dans des fichiers datés.
3. Construisez la couche humaine. Noms d'employés, format d'e-mail, puis pseudonymes. Chaque étape alimente la suivante.
4. Corrélez avant d'élargir. Cherchez le recoupement entre les deux couches : le développeur dont le pseudo GitHub correspond au nommage des sous-domaines, l'hôte de préproduction qui porte un nom d'employé.
5. Notez la source de chaque découverte. Une affirmation sans source dans un rapport OSINT ne vaut rien, car le client ne peut pas la vérifier et vous ne pourrez pas la reproduire dans six mois.

L'étape cinq est celle que l'on saute et que l'on regrette. Tenez un fichier de notes avec l'URL, l'horodatage et une capture d'écran pour tout ce qui peut disparaître. Les publications supprimées et les dépôts retirés sont exactement les découvertes qui comptent, et exactement celles qui s'évaporent avant la remise du rapport.

Fixez aussi un budget temps par étape. L'OSINT s'étend pour occuper tout le temps qu'on lui donne, et un testeur qui passe deux jours en reconnaissance sur une mission de cinq jours a fait une erreur de cadrage, pas une preuve de rigueur.

Considérations légales et éthiques

Lire un profil LinkedIn public est sans ambiguïté légal. Agréger des centaines de profils en un dossier sur des personnes nommées relève du droit de la protection des données, et sous le RGPD ce traitement exige une base légale, que chaque source ait été publique ou non.

• Ne créez jamais de faux profils pour accéder à du contenu non public, sauf si votre contrat de mission l'autorise explicitement.
• Restez passif sauf autorisation. Dès qu'un outil envoie un e-mail de réinitialisation ou scanne un port, vous avez quitté l'OSINT.
• Conservez les données personnelles collectées avec le même soin que les systèmes du client, et supprimez-les à la clôture de la mission.
• Enquêter sur un particulier par curiosité n'est pas de la recherche. C'est du harcèlement, et les outils se moquent de vos intentions.

Pour un cadre formel, NIST SP 800-115 traite la collecte d'informations comme partie d'une évaluation technique cadrée et constitue une référence raisonnable à citer dans des règles d'engagement.