SecLists : comment choisir la bonne wordlist (guide 2026)

Qu'est-ce que SecLists ?

SecLists est une collection gratuite de wordlists utilisées pendant les tests de sécurité : noms d'utilisateurs, mots de passe, chemins d'URL, sous-domaines, charges utiles de fuzzing, web shells et règles de détection de motifs, le tout réuni dans un seul dépôt. Elle est maintenue par Daniel Miessler et ses contributeurs sur github.com/danielmiessler/SecLists, sous licence MIT, et a dépassé les 73 000 étoiles GitHub.

Ce n'est pas un outil. Rien dans SecLists ne s'exécute. C'est de l'entrée, et c'est l'entrée de presque tous les outils qu'un débutant touche pendant son premier mois : gobuster, ffuf, dirsearch, Hydra, Hashcat, John the Ripper, sqlmap, wfuzz, Nuclei, Burp Intruder. L'outil est le moteur. La wordlist est le carburant, et c'est le carburant qui décide où vous arrivez.

Cette distinction compte plus qu'il n'y paraît. On passe des semaines à apprendre les options d'un fuzzer et zéro minute à comprendre laquelle des vingt et quelques listes de contenu web il aurait fallu lui donner. Dans la pratique, les options décident rarement du résultat. La liste, si.

Comment installer SecLists

Sur Kali Linux, une seule commande :

sudo apt install seclists

Cela installe la version 2025.3 dans /usr/share/seclists, environ 1,8 Go sur le disque d'après la page du paquet Kali. Le paquet wordlists de Kali dépose aussi un lien symbolique /usr/share/wordlists/seclists qui pointe au même endroit, d'où les deux chemins que vous croisez dans les guides. Ce sont les mêmes fichiers. Utilisez celui que vous tapez le plus vite.

Partout ailleurs, clonez le dépôt. Sautez l'historique des commits, sauf si attendre vous amuse :

git clone --depth 1 https://github.com/danielmiessler/SecLists.git

Sous BlackArch, sudo pacman -S seclists fait le travail. Sur macOS ou sur un Ubuntu standard, le clone superficiel reste la voie raisonnable. Le README documente aussi un téléchargement en zip, bon à connaître quand vous êtes sur une machine où git n'est pas installé et où vous ne pouvez pas l'installer.

Un avertissement honnête sur la place occupée. Un clone superficiel tire quand même quelques gigaoctets, et un clone complet avec l'historique en tire plusieurs de plus. Sur un VPS avec 20 Go de disque, c'est une vraie décision. Si vous n'avez besoin que des listes de contenu web, récupérez les fichiers un par un avec wget depuis raw.githubusercontent.com et restez sous le mégaoctet.

Ce que contient SecLists

Neuf dossiers à la racine, et vous en utiliserez réellement quatre. Voici la carte.

• Discovery - le dossier que vous ouvrez presque tous les jours. Des sous-dossiers pour Web-Content (chemins, fichiers, extensions), DNS (sous-domaines), Infrastructure, File-System, SNMP, Variables et Mainframe.
• Passwords - fuites de bases de données, identifiants constructeur par défaut, listes d'identifiants courants classées par fréquence, et ensembles spécifiques à chaque langue.
• Usernames - listes courtes pour le spraying, le dump xato de 8,2 millions d'entrées, plus de vraies listes de prénoms et de noms de famille dans Names.
• Fuzzing - le dossier des charges utiles. Chaînes d'injection SQL, vecteurs XSS, séquences de traversée LFI, chaînes de format, sondes de moteurs de templates, cas limites Unicode et le fameux big-list-of-naughty-strings.txt.
• Payloads, Web-Shells, Pattern-Matching, Miscellaneous et Ai/LLM_Testing - du matériel spécialisé. Le dernier est récent et couvre les chaînes d'injection de prompt et de jailbreak pour tester les applications adossées à un LLM.

Les noms de dossiers sont parlants, les noms de fichiers pas toujours. C'est tout le problème, et les deux sections suivantes y répondent.

Comment choisir la bonne wordlist

Deux questions tranchent à chaque fois. Qu'êtes-vous en train d'énumérer, et combien de temps acceptez-vous d'attendre ?

La seconde question est celle que les débutants sautent. Une liste de 220 000 entrées contre une application lente qui répond en 300 ms, avec 20 threads, prend environ 55 minutes. La liste de 4 751 entrées prend une minute et trouve le même panneau d'administration dans 90 % des cas, parce que ce panneau s'appelle /admin. Lancez toujours la petite liste d'abord. Ne montez en taille que si elle revient vide.

Regardez la forme de ce tableau. Deviner en ligne, contre un service en production, impose de toutes petites listes, parce que chaque tentative coûte un aller-retour et risque un verrouillage de compte. Casser hors ligne un hash que vous détenez déjà en autorise d'énormes, parce que les tentatives y sont gratuites. Confondre les deux est l'erreur de wordlist la plus fréquente, et c'est la raison pour laquelle quelqu'un, quelque part, dirige en ce moment 14 millions d'entrées rockyou contre un formulaire de connexion qui verrouille au bout de cinq essais.

Les fichiers SecLists à connaître par leur nom

Contenu web

common.txt est votre choix par défaut. 4 751 entrées, il couvre les chemins présents sur une large part des serveurs web réels et se termine assez vite pour tourner pendant que vous lisez la page d'accueil. Quand il ne renvoie rien, passez à raft-medium-directories.txt (29 999) ou raft-large-directories.txt (62 281). Les listes raft ont été générées à partir de crawls réels, ce qui leur donne un bien meilleur ordre que les reliques alphabétiques qu'elles remplacent.

quickhits.txt (2 570) mérite une mention à part, parce que ce n'est pas du tout une liste de répertoires. C'est une liste de choses qui ne devraient jamais être publiques : .git/config, .env, .htpasswd, fichiers d'échange d'éditeurs, sauvegardes de bases de données. Deux mille requêtes, et sur une application mal déployée l'une d'elles vous tend des identifiants. Lancez-le sur chaque cible web que vous êtes autorisé à toucher.

Reste DirBuster-2007_directory-list-2.3-medium.txt, 220 559 lignes, celui que tous les vieux tutoriels citent. Il date de 2007, l'en-tête de copyright le dit. Il fonctionne toujours, mais il est lent et son ordre reflète un web qui n'existe plus : traitez-le comme la passe qu'on lance pour la nuit, pas comme celle par laquelle on commence. Mettez le processus complet en pratique avec notre guide de fuzzing avec ffuf ou le tutoriel gobuster.

Sous-domaines

La famille subdomains-top1million existe en versions 5 000, 20 000 et 110 000 entrées, plus un jeu complet compressé. Commencez à 5 000. L'écart entre 5 000 et 110 000 est surtout du bruit pour une cible unique, et le brute force DNS à cette échelle commence à ressembler à un abus pour le résolveur que vous martelez. n0kovo_subdomains.txt et bitquark-subdomains-top100000.txt sont les deux alternatives à essayer quand la liste standard s'épuise.

Noms d'utilisateurs et mots de passe

Les deux listes courtes sont les pépites cachées de tout le dépôt. top-usernames-shortlist.txt contient 17 entrées, et ce sont les 17 bonnes : root, admin, test, guest, mysql, oracle, pi, vagrant, ec2-user, azureuser et une poignée d'autres. top-passwords-shortlist.txt en contient 25. Dix-sept fois vingt-cinq font 425 tentatives, ce qui se termine en moins d'une minute contre SSH et constitue le bon premier réflexe sur toute machine où vous n'avez aucune autre piste.

Passwords/Default-Credentials/default-passwords.csv compte 2 876 lignes d'identifiants constructeur indexées par produit. Quand votre scan sort une page d'administration de routeur ou une interface web d'imprimante, ce fichier répond plus vite qu'un moteur de recherche. Pour le travail hors ligne, rockyou.txt.tar.gz est livré dans SecLists et doit être décompressé avant usage, ce que notre guide sur rockyou.txt détaille, avec ce que contiennent vraiment ces 14 millions de lignes.

Charges utiles de fuzzing

Le dossier Fuzzing est l'endroit où SecLists cesse de parler de découverte pour parler d'exploitation. LFI/LFI-Jhaddix.txt (930 entrées) est un jeu de charges de traversée prêt à l'emploi. template-engines-identification.txt vous dit quel moteur de templates vous avez en face avant d'essayer de l'exploiter. big-list-of-naughty-strings.txt est celui qu'on envoie dans n'importe quel champ de saisie pour voir à quel point l'application gère mal les cas limites. Chargez-les dans Burp Intruder ou comme wordlist d'un fuzzer et vous remplacez une heure de saisie manuelle de charges utiles.

Quatre erreurs SecLists qui gâchent votre après-midi

1. Reprendre un nom de fichier d'un vieux tutoriel

SecLists a renommé beaucoup de fichiers pour créditer leurs sources, et les classiques ont bougé. directory-list-2.3-medium.txt s'appelle maintenant DirBuster-2007_directory-list-2.3-medium.txt. 10-million-password-list-top-1000.txt s'appelle maintenant xato-net-10-million-passwords-1000.txt. Tous les guides écrits avant le renommage pointent vers un chemin qui n'existe plus, et pour un débutant « fichier introuvable » ressemble à une installation cassée. Quand un chemin échoue, ne réinstallez pas. Cherchez :

ls /usr/share/seclists/Discovery/Web-Content/ | grep -i directory-list
find /usr/share/seclists -iname '*subdomain*'

2. Envoyer les lignes de commentaire comme requêtes

Les listes DirBuster s'ouvrent sur un en-tête de copyright de 13 lignes, chacune commençant par #. La plupart des fuzzers n'en savent rien et demanderont consciencieusement /# Copyright 2007 James Fisher et douze lignes tout aussi inutiles. Cela casse rarement quelque chose, mais cela salit votre sortie et vous fait passer pour négligent dans une revue de logs. ffuf a une option pour ça :

ffuf -ic -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -u https://target.example/FUZZ

La solution portable, pour les outils dépourvus d'option équivalente, consiste à les retirer vous-même :

grep -v '^#' original.txt | grep -v '^$' > clean.txt

3. Oublier les extensions

Les listes de contenu web contiennent des mots nus. admin, pas admin.php. Si l'application sert des fichiers .php ou .aspx et que vous ne demandez pas à votre outil d'ajouter les extensions, vous raterez tous les fichiers et ne trouverez que des répertoires. Dans ffuf c'est -e .php,.bak,.txt ; gobuster utilise -x. Discovery/Web-Content/web-extensions.txt fournit un jeu sélectionné de 43 entrées quand vous voulez fuzzer l'extension elle-même au lieu de la deviner.

4. Attraper rockyou.txt par réflexe

rockyou.txt vient d'une fuite de 2009 chez un site de jeux sociaux. Il est excellent pour casser des hash hors ligne et franchement mauvais pour à peu près tout le reste. Contre un formulaire de connexion en production, il est trop lent et trop bruyant. Contre une cible d'entreprise, c'est la mauvaise population : personne dans une société avec une politique de mots de passe n'utilise iloveyou. La bonne liste pour une cible d'entreprise est celle que vous construisez à partir de la cible elle-même, ce qui est le sujet de la section suivante.

Quand SecLists est la mauvaise réponse

Voici ce que la plupart des guides ne vous diront pas : sur une mission réelle, la meilleure wordlist est généralement celle qui n'existe pas encore.

SecLists est une collection de ce qui était commun à tout le monde. Votre cible est une organisation unique avec son propre vocabulaire : noms de code produit, villes de bureaux, le chien du fondateur, un outil interne dont personne à l'extérieur n'a jamais entendu parler. Rien de tout cela n'est dans une liste générique, et tout cela est sur leur propre site web.

Alors aspirez leur site. cewl https://acme.example -d 2 -m 6 -w custom.txt parcourt deux niveaux de profondeur et écrit dans une liste chaque mot de six caractères ou plus. Donnez-la à Hashcat avec un fichier de règles et vous obtenez les mutations que les gens choisissent vraiment : Acme2026!, acme123, Acme@Corp. Sur les missions réelles, les listes dérivées de la cible trouvent des identifiants que rockyou ne trouvera jamais, et en une fraction des tentatives.

La même logique vaut pour les chemins. Aspirez le site, extrayez chaque fragment d'URL et réinjectez-le comme wordlist à côté de common.txt. Les conventions de nommage se répètent : si vous trouvez /api/v1/users, alors /api/v1/admin vaut une tentative qu'aucune liste générique ne fera pour vous. Construire cette liste à partir d'une cible vivante est précisément la compétence que notre lab Custom Wordlist Attack fait travailler, et elle se transfère à toutes les missions que vous mènerez.

SecLists reste le point de départ. Ce n'est simplement pas le point d'arrivée.

Considérations légales et éthiques

• Ne lancez des attaques par wordlist que contre vos propres systèmes, des labs volontairement vulnérables ou des hôtes explicitement nommés dans un périmètre signé.
• Le password spraying peut verrouiller de vrais comptes. Connaissez la politique de verrouillage avant de commencer, restez largement sous le seuil et convenez de la fenêtre avec le client.
• Les grandes wordlists génèrent beaucoup de trafic. Une passe de 220 000 entrées avec un nombre de threads élevé est indiscernable d'une tentative de déni de service côté défenseur, et elle peut réellement faire tomber une petite application.
• Les listes de mots de passe issues de fuites contiennent de vrais identifiants appartenant à de vraies personnes. Servez-vous-en pour tester des systèmes autorisés, jamais pour accéder à des comptes, et ne les rediffusez pas en dehors de cet usage.
• Consignez vos choix de wordlists dans le rapport. « Nous avons testé les 5 000 sous-domaines les plus courants » est une information de périmètre exploitable par le client. « Nous avons lancé une wordlist » ne l'est pas.
• Suivez une méthodologie établie plutôt que d'improviser. L'OWASP Web Security Testing Guide précise où l'énumération se situe dans un test structuré.