Boîte à outils
Outils OSINT
Les outils de renseignement en sources ouvertes que j'utilise pour vérifier ma propre exposition avant que quelqu'un d'autre ne le fasse.
Aucun de ces outils ne tourne ici : ce sont des services externes, chaque carte ouvre le site de l'éditeur. Je m'en sers d'abord sur mes propres domaines — c'est comme ça que j'ai découvert que deux de mes sous-domaines n'apparaissaient dans aucun registre public, et qu'une page que j'avais mise en ligne était la seule chose qui les révélait.
-
crt.sh (ouvre un site externe dans un nouvel onglet)
Journaux de transparence des certificats. Révèle les sous-domaines qu'une autorité de certification a signés — y compris ceux qu'on croyait discrets.
-
Shodan (ouvre un site externe dans un nouvel onglet)
Moteur de recherche des machines exposées sur Internet. Ce qu'il trouve de vous est déjà public : autant le savoir en premier.
-
Have I Been Pwned (ouvre un site externe dans un nouvel onglet)
Fuites de données connues, par adresse e-mail ou par domaine. Le point de départ avant toute rotation de mots de passe.
-
Wayback Machine (ouvre un site externe dans un nouvel onglet)
Archives du web. Ce qu'une page disait avant correction reste consultable : retirer une information ne suffit pas à la faire disparaître.
-
Hardenize (ouvre un site externe dans un nouvel onglet)
État de la configuration TLS, DNS et des en-têtes d'un domaine, noté poste par poste. Utile pour vérifier un hardening plutôt que le supposer.
-
Mozilla Observatory (ouvre un site externe dans un nouvel onglet)
Audit des en-têtes de sécurité HTTP avec la raison de chaque point perdu. Complémentaire d'une vérification maison.
-
OsirisAI Live (ouvre un site externe dans un nouvel onglet)
Carte temps réel agrégeant trafic aérien et maritime, satellites, câbles sous-marins, CCTV publiques et incidents mondiaux. Utile pour situer un événement avant de chercher la source qui en parle.
Pourquoi aucun outil de ma fabrication ici
J'en avais un en projet. L'idée était d'automatiser ce que ces services font à la main : rassembler, à partir de sources publiques, ce qu'on peut trouver sur une personne. Techniquement, rien d'insurmontable. C'est l'analyse de risques qui l'a tué, et pas par où je l'attendais.
Le risque principal n'était pas technique, il était juridique. Collecter des données personnelles ailleurs qu'auprès de la personne concernée déclenche l'article 14 du RGPD : il faut l'informer, lui dire quelles données, pourquoi, sur quelle base légale, et combien de temps. Sur des inconnus trouvés au fil de sources ouvertes, cette obligation n'est pas difficile à tenir, elle est impossible — et la dérogation prévue quand l'information exige un effort disproportionné ne couvre pas un outil dont c'est précisément la raison d'être.
Le projet a donc été abandonné sous cette forme, puis repris sans données personnelles de tiers : les mêmes techniques, tournées vers ma propre surface d'exposition. Je suis la personne concernée, l'article 14 ne s'applique pas, et l'outil sert à quelque chose — c'est ce qui a donné l'observatoire et cette page.
C'est le seul projet que j'aie arrêté pour une raison de conformité et non de faisabilité, et c'est celui dont je parle le plus volontiers : savoir construire quelque chose et décider de ne pas le faire est une compétence distincte.
La démarche qui a produit cette décision est publiée — l'analyse de risques et le registre RGPD. EBIOS RM · RGPD
Le réflexe qui compte n'est pas de connaître ces outils, c'est de les tourner vers soi en premier. Un service que j'expose sans le savoir est déjà dans l'un d'eux.