L'OSINT (Open Source Intelligence, ou renseignement d'origine sources ouvertes) consiste à collecter et recouper des informations publiquement accessibles : registres de noms de domaine, réseaux sociaux, archives web, images, bases de fuites de données. Utilisé par les analystes SOC, les équipes CERT, les journalistes et les enquêteurs, il ne demande aucun accès privilégié : la valeur vient de la méthode et du recoupement, pas de l'outil.
Cet article présente des outils OSINT gratuits (ou disposant d'une offre gratuite) classés par usage, puis une méthode en quatre étapes pour ne pas se perdre dans les résultats.
Avant de commencer : cadre légal et éthique
Une donnée accessible n'est pas forcément librement exploitable. Quelques règles de base :
- Ne collectez que des sources publiques. Contourner un mot de passe, une limitation d'accès ou se faire passer pour quelqu'un d'autre sort du cadre de l'OSINT.
- Respectez le RGPD. Une personne physique identifiable reste une personne concernée, même si ses informations sont publiques : finalité déterminée, minimisation, durée de conservation limitée.
- Documentez votre démarche (sources, dates, captures) : c'est indispensable pour qu'une conclusion soit vérifiable.
- Protégez votre propre exposition : utilisez un navigateur ou une machine dédiée, sans compte personnel connecté, pour ne pas laisser de traces exploitables.
Panorama des outils OSINT gratuits
| Usage | Outil | Ce qu'il apporte |
|---|---|---|
| Domaines | WHOIS / RDAP | Registrar, dates de création et d'expiration, serveurs de noms |
| Domaines | crt.sh | Recherche dans les journaux Certificate Transparency : sous-domaines et certificats émis |
| Domaines | DNSDumpster | Cartographie DNS et sous-domaines d'un domaine |
| Historique web | Wayback Machine (archive.org) | Versions passées d'une page supprimée ou modifiée |
| Services exposés | Shodan, Censys (offres gratuites limitées) | Ports ouverts, bannières de services, technologies détectées |
| Fuites de données | Have I Been Pwned | Vérifier si une adresse e-mail apparaît dans des fuites connues |
| Comptes et pseudos | Sherlock (open source) | Recherche d'un même pseudonyme sur de nombreux sites |
| E-mails et sous-domaines | theHarvester (open source) | Collecte d'e-mails, noms d'hôtes et sous-domaines depuis des sources publiques |
| Images | Recherche inversée (Google Lens, TinEye, Yandex Images) | Retrouver l'origine d'une image et ses variantes |
| Images | ExifTool (open source) | Lire les métadonnées d'un fichier (appareil, date, parfois localisation) |
| Cartographie | OpenStreetMap, Google Earth, SunCalc | Géolocalisation, historique d'imagerie, orientation des ombres |
| Méthode et automatisation | OSINT Framework, SpiderFoot (open source), Maltego Community Edition | Annuaire de sources, collecte automatisée, graphe de relations |
Ces outils ne se valent pas tous selon le contexte : une IP suspecte se traite avec Shodan ou Censys, un nom de domaine avec WHOIS et crt.sh, une image avec la recherche inversée.
Les outils ForenShield pour aller plus vite
ForenShield propose plusieurs outils OSINT gratuits, sans inscription et exécutés dans le navigateur :
- OSINT Domaine : WHOIS, enregistrements DNS, certificat SSL/TLS, réputation et indicateurs de compromission d'un domaine, sur une seule page.
- OSINT Instagram : données publiques d'un profil (biographie, statistiques, publications récentes, hashtags), sans connexion à votre compte.
- OSINT téléphone : pays, opérateur, type de ligne (mobile, fixe, VoIP) et score de risque d'un numéro, sans l'envoyer à un serveur.
- Mapping OSINT : représenter sous forme de graphe les identifiants et les liens entre eux, relié à une carte interactive, pour visualiser un recoupement (export et import JSON).
Une méthode en quatre étapes
1. Définir la question
« Qui est derrière ce domaine ? », « Cette image est-elle authentique ? », « Cette adresse e-mail a-t-elle fuité ? » : une question précise évite de collecter des données inutiles (et sensibles).
2. Collecter par sources indépendantes
Ne vous appuyez jamais sur une seule source. Croisez par exemple le WHOIS d'un domaine avec l'historique de ses certificats (crt.sh), les archives web et les services exposés sur son adresse IP.
3. Vérifier et recouper
Un pseudonyme identique sur deux sites ne prouve pas qu'il s'agit de la même personne. Cherchez au moins deux éléments indépendants qui concordent (photo, dates, langue, horaires d'activité) avant de conclure, et notez le niveau de confiance.
4. Documenter
Pour chaque élément : l'URL, la date et l'heure (en UTC), une capture d'écran, et si possible une empreinte (hash) du fichier collecté. Un rapport OSINT sans sources reproductibles n'a pas de valeur probante.
Erreurs fréquentes à éviter
- Confondre corrélation et preuve : deux indices proches ne font pas une identification.
- Ignorer la fraîcheur des données : un enregistrement WHOIS ou DNS peut avoir changé depuis l'indexation par l'outil.
- Tout automatiser : les résultats d'un outil automatique doivent être relus et validés manuellement.
- Négliger sa sécurité opérationnelle : consulter une infrastructure malveillante depuis sa machine habituelle expose votre adresse IP et votre navigateur.
Pour aller plus loin
L'OSINT est souvent la première étape d'une analyse plus large. Pour l'investigation sur des e-mails suspects, consultez notre guide sur l'analyse d'un e-mail de phishing. Vous pouvez aussi parcourir l'ensemble de la boîte à outils gratuite ForenShield, ou vous former avec nos modules de sensibilisation interactifs.