L’OSINT, abréviation d’open source intelligence (renseignement d’origine sources ouvertes), désigne le renseignement produit à partir d’informations que chacun peut obtenir légalement : articles de presse, registres publics, documents déposés par les entreprises, publications sur les réseaux sociaux, images satellites, sites web et traces techniques qu’ils laissent. Ici, « open source » n’a rien à voir avec les logiciels libres. Le terme signifie que la source est ouverte au public, par opposition à une source secrète ou obtenue par des moyens clandestins.
Le terme vient du renseignement étatique, mais aujourd’hui l’essentiel de l’OSINT est pratiqué par des journalistes, des équipes de sécurité, des analystes fraude et conformité, des équipes de protection des marques et des chercheurs. Notre page sur les proxies pour l’OSINT et le journalisme d’investigation traite du volet collecte pour ces équipes ; cet article couvre les fondamentaux : ce qu’est l’OSINT, d’où il provient, comment il se pratique et où se situent les limites.
Une définition opérationnelle
Le droit américain fournit l’une des définitions les plus citées. La Section 931 du National Defense Authorization Act for Fiscal Year 2006 décrit le renseignement d’origine sources ouvertes comme un renseignement « produit à partir d’informations accessibles au public » qui est « collecté, exploité et diffusé en temps utile auprès d’un public approprié afin de répondre à un besoin de renseignement spécifique ».
Deux éléments de cette définition comptent aussi en dehors de la sphère publique.
- L’information accessible au public est la matière première, pas le produit. La capture d’écran d’une publication est une information. Savoir qui l’a publiée, quand, depuis où et si elle est authentique, c’est du renseignement.
- Tout part d’un besoin. L’OSINT répond à une question que quelqu’un se pose réellement : ce fournisseur existe-t-il vraiment, qui se cache derrière ce domaine de phishing, cet événement a-t-il eu lieu à l’endroit et au moment indiqués par la vidéo. Collecter tout ce qui est public, sans question précise, relève de l’accumulation, et cela crée ses propres problèmes juridiques.
D’où provient l’OSINT
Les sources ouvertes se répartissent en quelques grandes catégories.
| Type de source | Exemples | Questions typiques |
|---|---|---|
| Médias | Sites d’information, émissions, communiqués de presse, médias locaux | Ce qui a été rapporté, par qui, quand |
| Registres publics | Registres des sociétés, décisions de justice, avis de marchés publics, registres fonciers et d’urbanisme | Qui possède ou dirige une entité, quels sont ses antécédents juridiques |
| Réseaux sociaux et plateformes communautaires | Publications publiques, forums, avis, plateformes vidéo | Ce que les gens disent, montrent et affirment, et quand |
| Imagerie et cartes | Images satellites et vues au niveau de la rue, services de cartographie | Où se trouve quelque chose, si cela a changé |
| Traces techniques | Enregistrements DNS, données WHOIS et RDAP, journaux de certificate transparency, pages web archivées | Qui exploite un domaine ou un serveur, à quoi d’autre il est relié |
| Littérature grise | Articles universitaires, rapports d’ONG, conférences, publications gouvernementales | Ce que l’on sait déjà d’un sujet |
La plupart des enquêtes combinent plusieurs de ces sources. Un domaine repéré dans un e-mail de phishing mène aux données d’enregistrement, puis aux certificats émis pour des noms d’hôte liés, puis à une fiche dans un registre des sociétés, puis à un profil sur un réseau social. Chaque étape est publique en elle-même ; la valeur réside dans les liens.
Techniques essentielles
Recherche avancée. Les opérateurs de recherche (site, filetype, expressions exactes, plages de dates) réduisent d’immenses ensembles de résultats aux quelques pages utiles. Lancer les mêmes requêtes depuis différents pays compte aussi, car les résultats et les sources locales varient selon la localisation.
Archivage et suivi des modifications. Les pages changent et disparaissent. Les archives du web montrent ce qu’une page affichait dans le passé, et c’est en conservant vos propres copies horodatées, avec l’URL et l’heure de capture, qu’une découverte devient une preuve.
Vérification d’images et de vidéos. La recherche d’image inversée retrouve des copies antérieures d’une photo. La géolocalisation (faire correspondre repères, panneaux et relief avec des cartes) et la chronolocalisation (ombres, météo, autres images du même événement) permettent de vérifier si une photo ou une vidéo montre bien ce qu’elle prétend. Les métadonnées des fichiers peuvent aider, même si la plupart des plateformes les suppriment au téléversement.
Analyse d’infrastructure. Dans le domaine de la sécurité, l’historique DNS, les journaux de certificate transparency et les données d’hébergement permettent de cartographier les domaines et serveurs d’un adversaire. Notre article sur les proxies résidentiels pour la threat intelligence explique pourquoi une partie de cette infrastructure se comporte différemment selon qui la consulte.
Recherche dans les registres. Les registres des sociétés, les décisions de justice et les marchés publics répondent aux questions de propriété et d’historique. Notre guide sur la collecte de documents publics pour le journalisme d’investigation détaille la méthode et la vérification.
Comment le travail s’organise
L’OSINT professionnel suit un cycle : définir la question, collecter, traiter (dédoublonner, traduire, structurer), analyser, puis rendre compte à la personne qui a besoin de la réponse. Le cycle se répète à mesure que les résultats soulèvent de nouvelles questions.
Deux habitudes distinguent un travail fiable de simples suppositions :
- La corroboration. Une source unique ne suffit jamais. Les affirmations sont vérifiées auprès de sources indépendantes, et le rapport indique le degré de confiance de l’analyste.
- La documentation. Chaque résultat consigne sa provenance, le moment de sa capture et la manière dont il a été obtenu. Le Berkeley Protocol on Digital Open Source Investigations, publié par le Human Rights Center de l’UC Berkeley avec le Haut-Commissariat des Nations unies aux droits de l’homme, définit ce type de norme pour les enquêtes susceptibles d’aboutir devant un tribunal.
Limites juridiques
« Public » ne veut pas dire « tout est permis ». Voici les principales limites. Il s’agit d’informations générales et non d’un conseil juridique ; les règles dépendent de votre pays et de votre finalité.
Les données personnelles restent des données personnelles. En vertu du RGPD et de lois similaires, les informations concernant une personne identifiable sont protégées même lorsqu’elles ont été publiées ouvertement. Leur collecte exige une base légale, une finalité claire, et pas plus de données que la finalité ne le requiert. Le journalisme et la recherche en sécurité bénéficient souvent d’exemptions spécifiques, mais elles ne sont pas illimitées.
Public signifie que vous n’avez rien eu à forcer. Accéder sans autorisation à des comptes, à des groupes privés ou à des systèmes peut constituer une infraction pénale au regard des lois sur l’usage abusif de l’informatique, comme le Computer Fraud and Abuse Act américain ou le Computer Misuse Act britannique. Deviner des mots de passe, utiliser des identifiants divulgués ou contourner une page de connexion, ce n’est pas de l’OSINT.
Les conditions des plateformes s’appliquent toujours. De nombreux sites restreignent la collecte automatisée ou les faux comptes dans leurs conditions d’utilisation. Enfreindre ces conditions relève généralement du contrat plutôt que du pénal, mais cela peut entraîner la fermeture de comptes et affaiblir la valeur de vos preuves.
Le droit d’auteur couvre ce que vous republiez. Collecter une page pour l’analyser n’est pas la même chose que publier les photos ou les textes qu’elle contient.
Sur la question précise de la collecte automatisée, notre présentation de la légalité du web scraping passe en revue les principaux cas.
Limites éthiques
La légalité est un minimum, pas la norme. Les enquêteurs expérimentés se demandent aussi :
- Est-ce proportionné ? Cartographier un réseau de fraude justifie davantage de collecte que de satisfaire sa curiosité au sujet d’un particulier.
- Qui pourrait en pâtir ? Les tiers, les sources et les membres de la famille apparaissent eux aussi dans les données publiques. Limitez ce que vous conservez sur les personnes qui ne sont pas l’objet de l’enquête.
- Le résultat pourrait-il être faux ? Une erreur d’identification rendue publique, surtout en ligne, cause des dommages durables. Corroborez avant de nommer qui que ce soit.
- Protégez-vous vos sources et vous-même ? Une enquête peut alerter la personne visée, et certaines exercent des représailles.
La place des proxies
Le travail OSINT comporte une couche réseau que l’on oublie facilement. Chaque page que vous ouvrez communique votre adresse IP au site. Cela peut révéler votre organisation à la personne visée par l’enquête, et de nombreux sites affichent des contenus, des résultats ou des prix différents selon l’endroit où le visiteur semble se trouver.
Un proxy résidentiel permet à un analyste de consulter un site comme un visiteur local du pays ou de la ville concernés, et tient le réseau de l’organisation à l’écart des journaux de la cible. Les équipes qui collectent à grande échelle, comme les équipes de sécurité qui surveillent les kits de phishing ou les atteintes aux marques, s’en servent aussi pour répartir les requêtes afin que la collecte reste dans ce que les sites tolèrent. Notre cas d’usage cybersécurité décrit ces flux de travail.
Soyez clair sur ce que cela fait et ne fait pas. Un proxy modifie l’adresse IP que voit un site ; il ne rend pas un enquêteur anonyme, et les comptes connectés, les empreintes de navigateur et le comportement peuvent toujours vous identifier. Notre article un proxy n’est pas un outil d’anonymat détaille ces limites, que la sécurité opérationnelle doit prendre en compte.
FAQ
Que signifie OSINT ?
Open source intelligence, c’est-à-dire le renseignement d’origine sources ouvertes : un renseignement produit à partir d’informations accessibles au public. « Open source » renvoie au caractère public de la source, et non aux logiciels libres.
L’OSINT est-il légal ?
Collecter et analyser des informations publiques est généralement légal, mais le droit de la protection des données, les lois sur l’usage abusif de l’informatique, les conditions des plateformes et le droit d’auteur continuent de s’appliquer. Les données personnelles restent protégées même lorsqu’elles sont publiques, et contourner des connexions ou des contrôles d’accès n’est pas de l’OSINT.
Qui utilise l’OSINT ?
Les journalistes, les équipes de sécurité et de threat intelligence, les analystes fraude et conformité, les cabinets de due diligence, les équipes de protection des marques, les chercheurs en droits humains et les gouvernements.
Quelle est la différence entre l’OSINT et le scraping de données ?
Le scraping est une méthode de collecte parmi d’autres. L’OSINT est l’ensemble du processus qui consiste à répondre à une question à partir de sources publiques : planifier, collecter manuellement ou automatiquement, vérifier, analyser et rendre compte.
En résumé
L’OSINT, ce n’est pas « googler quelqu’un ». C’est une manière rigoureuse de répondre à une question précise à partir de sources publiques, avec corroboration, documentation et des limites claires. Partez de la question, ne collectez que ce dont elle a besoin, gardez une trace de la provenance de chaque résultat, et considérez les limites juridiques et éthiques comme partie intégrante de la méthode.