OSINT : outils accessibles et cas d'usage concrets

Qu'est-ce que l'OSINT

L'OSINT (Open Source Intelligence) désigne la collecte et le recoupement d'informations déjà publiques : réseaux sociaux, registres officiels, moteurs de recherche, métadonnées d'images. Pas de piratage, pas d'accès non autorisé. C'est la même logique que celle utilisée par les journalistes, les recruteurs ou les équipes de sécurité au quotidien. Ces techniques servent à vérifier, pas à traquer quelqu'un sans son consentement.

Cas d'usage : auditer sa propre empreinte numérique

Rechercher son propre nom entre guillemets sur Google donne une première idée de ce qui est indexé. Une recherche d'image inversée (Google Images, glisser une photo de profil dans la barre de recherche) montre où cette photo a été réutilisée ailleurs, parfois sur des profils qu'on a oubliés.

• site:linkedin.com "Prénom Nom" : cible la recherche sur un site précis
• filetype:pdf "Prénom Nom" : retrouve des documents PDF qui vous mentionnent (CV, comptes rendus, rapports)
• "Prénom Nom" -site:linkedin.com : exclut un site pour voir ce qui apparaît ailleurs
• intitle:"Prénom Nom" : cible les pages où le nom apparaît dans le titre

Ces opérateurs de recherche avancée (le "Google dorking") affinent une recherche bien au-delà d'une requête simple. Pour un suivi dans la durée plutôt qu'une vérification ponctuelle, Google Alerts envoie une notification à chaque nouvelle page indexée qui mentionne votre nom.

Cas d'usage : vérifier les métadonnées d'une photo avant de la partager

Une photo prise avec un smartphone embarque souvent des métadonnées EXIF : modèle de l'appareil, date, parfois les coordonnées GPS précises du lieu de la prise de vue. Avant de la partager publiquement, un outil comme exif.tools montre ce qu'elle contient réellement. La plupart des réseaux sociaux suppriment ces métadonnées à l'upload, mais pas les emails ou messageries qui transmettent le fichier original.

Cas d'usage : vérifier une entreprise avant de signer

Avant de facturer ou de contractualiser avec un interlocuteur peu connu, l'Annuaire des Entreprises (service officiel de l'État, données Sirene) confirme en quelques secondes qu'une société existe réellement, son statut, sa date de création et son adresse. Un réflexe simple qui évite une partie des arnaques au faux client.

Deux vérifications complémentaires prennent quelques secondes de plus : un lookup Whois officiel (ICANN) indique depuis quand le nom de domaine existe (un site vieux de trois semaines pour une entreprise qui se dit "implantée depuis 10 ans" est un signal à ne pas ignorer), et la Wayback Machine montre les versions passées d'un site pour vérifier si son contenu a changé récemment, ou a été nettoyé après une controverse.

Cas d'usage : vérifier la cohérence d'un pseudo sur plusieurs plateformes

Sherlock (outil open source en ligne de commande) vérifie si un même nom d'utilisateur existe sur des dizaines de plateformes en une seule recherche. Usage légitime : vérifier la cohérence d'un profil professionnel qui se présente sous plusieurs identités en ligne, ou auditer sa propre présence.

En pratique : Sherlock s'installe avec Python (pip install sherlock-project, puis la commande sherlock suivie du pseudo à vérifier) et interroge plus de 400 plateformes en une seule recherche. Sans ligne de commande, WhatsMyName (maintenu par le chercheur en sécurité Micah Hoffman) couvre plus de 700 plateformes directement depuis un navigateur, une couverture supérieure à Sherlock sans rien installer.

Cas d'usage : vérifier si un email est associé à des comptes en ligne

Holehe (outil open source) teste si une adresse email est enregistrée sur plus d'une centaine de services (Twitter, Instagram, Spotify, GitHub, et bien d'autres), en interrogeant les formulaires d'inscription ou de réinitialisation de mot de passe de chaque plateforme, sans jamais se connecter au compte lui-même. Usage légitime : vérifier la cohérence entre l'email professionnel affiché par un interlocuteur et sa présence réelle en ligne, ou auditer sur combien de services on a soi-même laissé une trace avec une adresse donnée.

Cas d'usage : rechercher où son propre visage apparaît en ligne

PimEyes est un moteur de recherche par reconnaissance faciale : on lui soumet une photo de visage, il retourne les pages publiques où ce même visage apparaît ailleurs sur le web. L'usage légitime, rechercher sa propre photo pour savoir où elle circule, est réel : c'est l'équivalent facial de la recherche de son propre nom. Mais l'outil illustre aussi la face la plus problématique de l'OSINT accessible à tous. Il a valu à son éditeur une amende de l'autorité polonaise de protection des données dès 2022, l'autorité de Hambourg a reconnu son fonctionnement comme non conforme au RGPD sans parvenir à le faire cesser, et l'association européenne noyb a assigné cette autorité en justice en avril 2026 pour inaction. Entre-temps, l'éditeur, initialement basé en Pologne, a déplacé son siège aux Seychelles. Ce déplacement dit tout : rechercher son propre visage est une chose, l'utiliser pour identifier quelqu'un d'autre sans son consentement en est une autre, et c'est précisément ce que les régulateurs européens tentent, pour l'instant sans grand succès, d'encadrer.

Cas d'usage : vérification journalistique d'une image

Une recherche d'image inversée permet aussi de vérifier si une photo présentée comme récente circule en réalité depuis des années, ou provient d'un contexte différent. C'est une des techniques de base du fact-checking, accessible sans compétence technique particulière.

Pour aller plus loin sur la vérification d'images et de vidéos, l'extension InVID-WeVerify, développée pour les rédactions et fact-checkers européens, regroupe plusieurs de ces vérifications (recherche inversée multi-moteurs, extraction de métadonnées, analyse d'images) dans un seul outil gratuit.

---

Pour aller plus loin : sécurité numérique : les réflexes essentiels pour un particulier