Le plus simple pour choisir des outils OSINT est de partir de leur usage : une série pour les domaines et l’infrastructure, une pour les réseaux sociaux, une pour les images et vidéos, une pour les données de fuites, et quelques-uns pour les registres, l’archivage et la mise en relation des éléments. Ce guide présente les outils que les enquêteurs utilisent réellement dans chaque catégorie, ce à quoi ils servent et où se situent leurs limites. Il couvre aussi ce que la plupart des listes d’outils passent sous silence : ce que chaque recherche révèle sur vous, et la façon dont les équipes gèrent cette couche réseau, qui est le sujet de notre page sur les proxies pour l’OSINT et le journalisme d’investigation.
Si vous débutez dans le domaine, commencez par notre introduction à ce qu’est l’OSINT, qui couvre les sources, la méthode et les limites juridiques. Cet article suppose que vous connaissez les bases et que vous cherchez la boîte à outils.
Domaines et infrastructure
Les questions sont ici de savoir qui exploite un domaine ou un serveur, à quoi d’autre il est relié et comment il a évolué.
- ICANN Lookup interroge les données d’enregistrement via RDAP, le remplaçant moderne de WHOIS. Depuis le RGPD, la plupart des informations personnelles sont masquées, mais le bureau d’enregistrement, la date de création et les serveurs de noms restent utiles.
- crt.sh effectue des recherches dans les journaux de certificate transparency. Chaque certificat TLS reconnu publiquement y est consigné, si bien qu’une recherche sur un domaine révèle souvent des sous-domaines et des noms d’hôte liés que le propriétaire n’a jamais publiés nulle part.
- SecurityTrails affiche l’historique des enregistrements DNS, ce qui permet de retrouver où un site était hébergé avant de passer derrière un CDN.
- Shodan et Censys indexent les appareils et services connectés à Internet. Ils répondent à des questions comme : quels autres hôtes partagent ce certificat ou affichent exactement cette bannière de serveur.
- urlscan.io charge une URL dans un bac à sable et enregistre ce qu’elle a demandé, les domaines qu’elle a contactés et son apparence.
- VirusTotal agrège les verdicts de nombreux moteurs antivirus et analyseurs d’URL, et affiche les relations entre domaines, adresses IP et fichiers.
Deux de ces outils ont des réglages de visibilité à connaître. Les analyses urlscan.io peuvent être publiques, non répertoriées ou privées, et les analyses publiques peuvent être vues par d’autres, y compris par les personnes derrière le site sur lequel vous enquêtez. Les fichiers et URL soumis à VirusTotal peuvent être consultés par ses utilisateurs payants. N’y téléversez jamais de document confidentiel, et partez du principe qu’une soumission peut alerter un adversaire attentif.
Réseaux sociaux et noms d’utilisateur
Les questions sont ici de savoir où une personne ou un compte apparaît, ce qui a été publié et quand.
- Sherlock est un outil open source en ligne de commande qui vérifie un nom d’utilisateur sur des centaines de sites.
- WhatsMyName fait la même chose à partir d’une liste de sites tenue à jour, avec une interface web pour ceux qui préfèrent ne pas utiliser la ligne de commande.
- La recherche propre aux plateformes, avec ses opérateurs avancés et ses filtres de date, reste la source la plus fiable, car les outils tiers cessent de fonctionner chaque fois qu’une plateforme modifie ses pages ou son API.
Ce dernier point compte davantage chaque année. Les plateformes modifient souvent l’accès des chercheurs : Meta a fermé CrowdTangle en août 2024 et a transféré les chercheurs approuvés vers la Meta Content Library. Construisez votre méthode autour de ce que la plateforme autorise aujourd’hui, et attendez-vous à ce que les outils de cette catégorie cessent de fonctionner sans préavis.
Images et vidéos
Les questions sont ici de savoir où une image est apparue pour la première fois, où et quand elle a été prise, et si elle a été retouchée.
- La recherche d’image inversée avec Google Lens, TinEye, Bing Visual Search et Yandex Images. Ces outils indexent des parties différentes du web, alors utilisez-les tous. TinEye peut trier les résultats du plus ancien au plus récent, ce qui aide à retrouver l’original.
- Le plugin InVID-WeVerify est une extension de navigateur conçue pour les fact-checkers. Il découpe les vidéos en images clés pour la recherche inversée et regroupe plusieurs filtres d’analyse forensique d’images.
- ExifTool lit les métadonnées des fichiers image et vidéo : modèle d’appareil, horodatages et parfois coordonnées GPS. La plupart des réseaux sociaux les suppriment au téléversement, il est donc surtout utile sur les fichiers originaux.
- SunCalc affiche la position du soleil pour n’importe quel lieu et moment, ce qui permet de confronter une heure annoncée aux ombres visibles sur une photo.
- Google Earth Pro propose des images historiques, et Copernicus Browser donne un accès gratuit aux images satellites Sentinel récentes, pour confirmer un lieu et voir comment il a évolué.
Données de fuites
La question est ici de savoir si un compte, une adresse e-mail ou une organisation figure dans une fuite connue. C’est la catégorie où les enjeux juridiques sont les plus sensibles.
- Have I Been Pwned indique si une adresse e-mail apparaît dans des fuites connues. Sa recherche par domaine couvre toutes les adresses d’un domaine, mais seulement après que vous avez prouvé que vous contrôlez ce domaine, ce qui en fait un bon outil pour vérifier l’exposition de votre propre organisation.
- Les services commerciaux de recherche dans les fuites permettent aux enquêteurs d’interroger directement les données de fuites. Ils sont utilisés dans la lutte contre la fraude et la threat intelligence, mais ils mettent sous vos yeux de grandes quantités de données personnelles.
Les règles sont ici plus strictes que pour les autres catégories. Les données de fuites sont des données personnelles, et en vertu du RGPD et de lois similaires, les rechercher et les conserver constitue un traitement qui exige une base légale et une finalité claire. Se servir d’un mot de passe divulgué pour se connecter à un compte est un accès non autorisé, quel que soit l’objectif de l’enquête. Les équipes qui surveillent les fuites pour leur propre organisation le font généralement dans le cadre d’une politique écrite, que décrit notre article sur la surveillance du dark web et des sites de paste pour repérer les identifiants divulgués. Il s’agit d’informations générales et non d’un conseil juridique.
Registres, archivage et analyse de liens
Trois catégories complémentaires rendent les autres exploitables.
Entreprises et registres publics. OpenCorporates agrège les registres des sociétés de nombreux pays, et les registres nationaux, comme Companies House au Royaume-Uni ou la base EDGAR de la SEC, sont les sources primaires à citer.
Archivage et capture. La Wayback Machine et archive.today affichent les versions passées des pages et permettent d’en sauvegarder de nouvelles. Hunchly enregistre chaque page que vous visitez pendant une enquête, avec horodatage, et c’est ce qui transforme une découverte en preuve.
Automatisation et analyse de liens. theHarvester collecte les e-mails, sous-domaines et hôtes d’un domaine à partir de sources publiques. SpiderFoot lance automatiquement des dizaines de recherches sur une cible. Maltego représente les résultats sous forme de graphe, pour voir quels domaines, personnes et organisations sont liés. Le site OSINT Framework est un vaste répertoire si vous cherchez quelque chose de plus spécifique.
| Catégorie | Pour commencer | Options gratuites |
|---|---|---|
| Domaines et infrastructure | crt.sh, ICANN Lookup, urlscan.io | crt.sh, ICANN Lookup, offres gratuites des autres |
| Réseaux sociaux et noms d’utilisateur | Recherche des plateformes, Sherlock, WhatsMyName | Sherlock, WhatsMyName |
| Images et vidéos | Recherche d’image inversée, InVID-WeVerify, ExifTool | Tous |
| Données de fuites | Have I Been Pwned | Have I Been Pwned pour une adresse à la fois |
| Registres et archivage | OpenCorporates, Wayback Machine, Hunchly | Recherche OpenCorporates, Wayback Machine |
| Analyse de liens | SpiderFoot, Maltego | SpiderFoot (open source) |
La couche qu’aucun outil ne couvre : ce que voit la cible
Chacun des outils ci-dessus interroge un service pour votre compte ou vous envoie directement vers la cible. C’est dans ce second cas que les enquêtes fuient.
Lorsque vous ouvrez un domaine suspect, un kit de phishing ou une boutique de contrefaçons depuis le réseau de votre bureau, le site enregistre l’adresse IP de votre organisation. Les opérateurs prudents surveillent leurs journaux et réagissent : ils bloquent votre plage d’adresses, vous montrent une page inoffensive ou mettent le site hors ligne avant que vous ne l’ayez capturé. De nombreux sites affichent aussi des contenus différents selon le pays du visiteur, si bien qu’une page consultée depuis votre bureau peut ne pas correspondre à ce que voient les victimes locales.
Les équipes d’enquête gèrent cela avec quelques habitudes :
- Tenez le trafic de collecte à l’écart de votre propre réseau. Un proxy résidentiel fait partir la requête d’une connexion domestique dans le pays ou la ville concernés, de sorte que la cible voit un visiteur local ordinaire plutôt que votre entreprise.
- Isolez le navigateur. Utilisez un profil de navigateur séparé, ou une machine virtuelle pour tout ce qui risque d’être malveillant, afin que les cookies et sessions de votre travail habituel n’atteignent jamais la cible. Les équipes de sécurité qui procèdent ainsi à grande échelle sont décrites sur notre page cas d’usage cybersécurité.
- Maniez les comptes de recherche avec prudence. Certains enquêteurs utilisent des comptes de recherche distincts, souvent appelés sock puppets, pour consulter des contenus qui exigent une connexion. De nombreuses plateformes interdisent les faux comptes dans leurs conditions d’utilisation : vérifiez ces conditions et la politique de votre organisation, consignez la raison d’être du compte, et ne l’utilisez jamais pour tromper ou contacter les personnes sur lesquelles vous enquêtez.
- Connaissez les limites. Un proxy modifie l’adresse IP que voit un site. Il ne masque pas l’empreinte de votre navigateur, vos comptes connectés ni votre comportement. Notre article un proxy n’est pas un outil d’anonymat détaille ce qui peut encore trahir un enquêteur.
En résumé
Choisissez vos outils OSINT en fonction de la question à laquelle vous répondez : recherches de certificats et DNS pour l’infrastructure, recherche de noms d’utilisateur et recherche sur les plateformes pour les réseaux sociaux, recherche inversée et métadonnées pour les images, services de notification pour l’exposition aux fuites, et archivage et analyse de liens pour relier le tout. Vérifiez ce que chaque outil partage de vos recherches, tenez la collecte à l’écart de votre propre réseau, et traitez les données de fuites et les comptes de recherche comme les risques juridiques et éthiques qu’ils représentent.
Si votre équipe doit consulter des sites comme un visiteur local dans un autre pays, vous pouvez le tester avec un essai gratuit : 100 MB de Residential Proxies sur 3 jours, ou 1 jour d’ISP Proxies avec jusqu’à 10 IP.