Qu’est-ce que le dark web ? Signification, définition et fonctionnement

Qu’est-ce que le dark web ?

Le dark web est une couche d’internet fonctionnant sur des réseaux superposés chiffrés qui nécessite un logiciel spécialement conçu pour y accéder. Les navigateurs standards ne peuvent pas l’ouvrir, et les moteurs de recherche ne l’indexent pas. En pratique, la signification du dark web est restreinte. Ni l’hôte ni le visiteur ne peuvent être localisés.

En juin 2025, l’U.S. Secret Service et le FBI ont saisi environ 145 domaines du darknet liés à la place de marché BidenCash, qui vendait des cartes de paiement volées et des identifiants compromis.

Si vous gérez des opérations de sécurité, le dark web est l’endroit où vos identifiants volés sont tarifés et revendus. Cette page explique comment le réseau fonctionne, ce qu’il contient et ce qu’il faut surveiller.

Dark Web vs Deep Web vs Surface Web

Il existe encore beaucoup de confusion entre deep web et dark web. Par conséquent, « Dark Web » est souvent utilisé de manière interchangeable avec « Deep Web », mais en réalité, ce sont deux choses différentes. Le « Surface Web » comprend les sites WWW qui peuvent être recherchés à l’aide de moteurs de recherche tels que Google ou Bing.

Tout ce qui se trouve au-delà de cet index, caché derrière un mot de passe ou un logiciel, est appelé Deep Web ou Dark Web. La différence entre le deep web, le dark web et les sites de surface est essentielle pour les organisations qui évaluent les menaces provenant d’internet.

1. Surface Web – Facilement indexé : Le surface web comprend toutes les informations accessibles au moyen d’un navigateur web standard et à l’aide des robots d’exploration standard des moteurs de recherche. Cela inclut notamment les sites d’actualités, les pages de réseaux sociaux, les sites d’entreprise et les boutiques en ligne. Ces domaines sont accessibles via des liens fournis par les sites web ou via les résultats des moteurs de recherche. Il ne représente qu’une petite partie d’internet, mais les gens l’associent au terme « Web ».
2. Deep Web – Pages non indexées : Les pages du Deep Web ne sont pas indexées dans les moteurs de recherche classiques, car elles sont soit derrière un paywall, soit dans un réseau privé. Parmi les exemples figurent les bases de données internes de l’entreprise, les e-mails protégés par mot de passe et les journaux et périodiques payants. Cette dimension non indexée est bien plus vaste que le surface web en termes de taille. Il convient de noter que le deep web n’a pas de connotation criminelle, mais certains sites du dark web sont souvent qualifiés de deep web.
3. Dark Web – Anonymat dès la conception : Le Dark Web fait partie du Deep Web et se compose de sites hébergés sur des réseaux anonymes tels que Tor ou I2P. Également appelés « sites onion v3 » sur le réseau Tor, ces domaines comportent des caractères aléatoires et se terminent par « .onion ». Ils sont accessibles via des navigateurs dark web afin de garantir que l’identité de l’utilisateur et son adresse IP restent dissimulées. Cet environnement prend en charge des groupes de discussion discrets, le commerce illicite et des moyens de communication sûrs.
4. Différences d’accessibilité : Trouver les sites de surface est aussi simple qu’une recherche sur Google. La plupart des pages du Deep Web nécessitent un nom d’utilisateur et un mot de passe ou l’adresse exacte de la page. En revanche, les ressources du Dark Web ne sont accessibles qu’à l’aide d’un logiciel spécifique ou d’un moteur de recherche dark web qui fonctionne au sein des réseaux d’anonymat. De nombreux débutants se demandent « qu’est-ce que le dark web ? » lorsqu’ils découvrent ces étapes d’accès uniques, très différentes du surface web simple et ouvert.
5. Variété du contenu : Le surface web comprend des articles, des blogs et des sites d’e-commerce, tandis que le Deep Web inclut des informations privées, des documents protégés par mot de passe et des réseaux internes. En revanche, les sites du dark web peuvent contenir aussi bien des forums de discussion pour militants politiques qu’un marché de stupéfiants. L’éventail est vaste, ce qui prouve que l’activité sur le dark web peut être assez utile et légale, tout comme totalement illégale.
6. Implications en matière de sécurité : Bien que la plupart des interactions sur le Web de surface et même sur le Deep Web soient sécurisées, en raison de l’anonymat du Dark Web, les risques sont plus élevés. C’est l’endroit où les acteurs de la menace viennent acheter et vendre des données volées et des outils de piratage, ou collaborer entre eux. Les entreprises utilisent des services d’analyse du dark web pour suivre les identifiants volés ou d’autres propriétés intellectuelles au sein de l’entreprise. Là où la catégorisation Dark Web vs Surface Web est utile, c’est qu’elle explique l’ampleur du risque encouru lorsque les données d’une organisation se retrouvent sur le Dark Web.
7. Perception et légalité : Bien que le Deep Web soit en grande partie inoffensif, le dark web a une image sinistre en raison des marchés noirs et des groupes de hackers. Ce type de site est généralement mis en lumière lorsque de grands trafiquants de drogue ou fraudeurs à la carte bancaire sont arrêtés. Cependant, même les sites du dark web abritent aussi de nombreuses activités légales, par exemple les communications de dissidents politiques. Dans ce cas, considérer tout contenu dissimulé comme intrinsèquement illégal revient à ignorer les aspects nuancés du Dark Web.

Comment fonctionne le dark web ?

Le dark web fonctionne grâce au routage en oignon, conçu au milieu des années 1990 par des chercheurs de l’U.S. Naval Research Laboratory et publié sous forme du logiciel open source Tor en 2002. Son fonctionnement explique pourquoi l’attribution est difficile et pourquoi les démantèlements s’étendent sur des années :

1. Votre client Tor choisit au hasard trois relais exploités par des bénévoles dans un pool mondial, avec une rotation périodique.
2. Le trafic est chiffré en trois couches, une par relais, comme un oignon.
3. Chaque relais ne déchiffre que sa propre couche et n’apprend que le saut précédent et le suivant. Aucun ne connaît à la fois votre adresse IP et la destination.
4. Un service .onion n’a pas de relais de sortie. Le client et le service construisent chacun un circuit vers un point de rendez-vous partagé, de sorte qu’aucun des deux ne découvre l’emplacement de l’autre.
5. L’adresse est une chaîne de 56 caractères dérivée d’une clé publique cryptographique, que le DNS conventionnel ne résout jamais.

Les démantèlements proviennent d’erreurs des opérateurs : une adresse e-mail réutilisée, un paiement traçable, une infrastructure recyclée. Lorsqu’une opération menée par les États-Unis avec Europol a saisi AlphaBay en juillet 2017, alors la plus grande place de marché du dark web en activité, les enquêteurs avaient identifié son administrateur grâce à une adresse e-mail personnelle laissée dans les premiers messages automatisés du site. Le chiffrement de Tor a tenu. Ces habitudes façonnent l’apparence des sites du dark web.

Obtenir des informations plus approfondies sur les menaces

Découvrez comment WatchTower, le service de chasse aux menaces de SentinelOne, peut vous apporter de meilleures informations et vous aider à déjouer les attaques.

En savoir plus

À quoi ressemble le dark web ?

La plupart des sites du dark web sont riches en texte, visuellement sobres et lents, car chaque chargement de page traverse plusieurs relais et les configurations Tor renforcées bloquent les scripts et les images qui rendent les sites modernes rapides.

Chaque fonctionnalité supprimée ferme une voie supplémentaire de désanonymisation. Atteindre cette interface exige déjà une configuration délibérée.

Comment accéder au dark web en toute sécurité

L’accès est une tâche de recherche avec un rayon d’impact, pas une décision de navigation. Les analystes, les enquêteurs sur la fraude et les intervenants en réponse à incident ont des raisons de s’y rendre. Tous les autres sur votre réseau n’en ont pas. Là où vous l’autorisez, définissez la limite avant que quiconque n’ouvre un navigateur :

1. Tor Browser comme client. Tor est gratuit et open source, et il résout les adresses .onion que les navigateurs ordinaires ne peuvent pas résoudre. Téléchargez-le uniquement depuis le Tor Project. Les installateurs clonés diffusés via des annonces de recherche constituent un problème récurrent.
2. Un VPN devant Tor. Cela masque l’utilisation de Tor à votre FAI et, plus important encore pour une entreprise, maintient l’espace IP de l’entreprise hors de la connexion. L’attribution fonctionne dans les deux sens : un opérateur de marché qui repère un bloc d’adresses d’entreprise dans ses journaux apprend qui observe.
3. Une machine isolée. Une machine virtuelle dédiée ou un réseau de recherche segmenté maintient la session à l’écart des identifiants de production et des systèmes internes. La segmentation réseau est le contrôle qui limite ce qu’un hôte de recherche compromis peut atteindre.
4. Adresses vérifiées uniquement. Il n’existe aucun index faisant autorité, et les sites .onion clonés qui reproduisent de vrais marchés pour récolter des identifiants sont courants. Travaillez à partir d’adresses que votre équipe de renseignement a déjà validées, jamais à partir d’un répertoire aléatoire.
5. Une politique écrite. La navigation est légale aux États-Unis et dans la majeure partie de l’Europe, mais pas les comportements, et certaines juridictions surveillent ou bloquent purement et simplement les réseaux d’anonymisation. Définissez à l’avance quels rôles peuvent y accéder, depuis où, et avec quoi ils peuvent interagir.

L’accès manuel a ses limites. Un analyste peut lire une poignée de forums ; l’exposition qui vous importe est répartie sur des centaines, dont la plupart sont sur invitation uniquement. Ce qui subsiste dans cette interface simple est une économie active, et la lire à grande échelle est un problème de collecte.

Qu’y a-t-il sur le dark web ? Ce que vous pouvez y trouver

Ce qui se trouve sur le dark web se répartit en trois groupes qu’un programme de surveillance traite différemment : les marchés qui vendent des accès, les sites de fuite qui publient des données volées, et les services légitimes qui ont besoin de l’anonymat pour fonctionner.

Marchés et services de cybercriminalité

Les places de marché du dark web sont la partie qui compte sur le plan opérationnel, transformant un seul mot de passe volé en produit avec un prix, un vendeur et un acheteur :

• Identifiants volés : journaux d’infostealer, cookies de session et ensembles d’identité à l’origine des attaques de prise de contrôle de compte.
• Ransomware-as-a-service : programmes d’affiliation permettant à des acteurs peu qualifiés de déployer des charges utiles de chiffrement en échange d’une part des gains.
• Courtiers en accès initial : vendeurs qui compromettent une organisation puis revendent le point d’appui, les identifiants VPN d’entreprise figurant parmi les plus chers.
• Kits d’exploit : malware builders, loaders, zero-day exploits, et infrastructure d’attaque louée.

N’importe lequel de ces éléments peut nommer directement votre organisation, ce qui transforme la surveillance des marchés en renseignement exploitable.

Sites de fuite et dumps de données

Les groupes d’extorsion exploitent des sites de fuite .onion dédiés qui publient des fichiers volés à des victimes qui refusent de payer, et ces dumps incluent régulièrement des identifiants internes, des dossiers financiers et de la documentation technique.

Les sites remplissent une double fonction : faire pression sur la victime tout en démontrant leurs capacités aux affiliés. REvil exploitait exactement ce dispositif parallèlement à sa campagne zero-day de juillet 2021 contre le logiciel VSA de Kaseya, qui a touché environ 1 500 entreprises via des fournisseurs de services managés et s’accompagnait d’une demande de 70 millions de dollars. La CISA et le FBI ont publié des recommandations conjointes pour les fournisseurs touchés en quelques jours.

Contenu légitime et protégé

Une part importante du trafic du dark web sert des personnes dont la sécurité dépend de l’anonymat. SecureDrop sur les plateformes de salles de rédaction, y compris The New York Times, utilisent des adresses .onion afin que les sources puissent soumettre des documents anonymement, et la BBC duplique ses reportages pour les publics de pays pratiquant la censure.

Les communautés de la vie privée et les crawlers universitaires qui alimentent la part publique du renseignement open source l’utilisent également. Les deux populations dépendent du même réseau, c’est pourquoi un blocage généralisé n’est pas une stratégie de sécurité. Ce qui arrive réellement de ce réseau de votre côté est plus restreint et plus facile à nommer.

Risques du dark web auxquels votre organisation est confrontée

L’exposition des identifiants est ce qui transforme l’activité du dark web en incident sur votre réseau. Dans 143 évaluations d’organisations d’infrastructures critiques, la CISA a constaté que les comptes valides (T1078) étaient la technique d’attaque réussie la plus courante, responsable de 41 % des tentatives réussies. Les identifiants volés sont exactement ce que vendent les marchés du dark web.

DarkSide, un groupe de rançongiciel en tant que service qui recrutait sur des forums du dark web et exploitait son propre site de fuite, a mis hors service pendant plusieurs jours en mai 2021 le plus grand pipeline de carburant de la côte Est des États-Unis au moyen d’un seul identifiant VPN compromis. Colonial a payé environ 75 bitcoins ; le FBI a ensuite retracé et saisi 63,7 d’entre eux via le registre public.

Les expositions du dark web à suivre :

• Réutilisation d’identifiants : un mot de passe divulgué lors d’une violation chez un tiers permet d’accéder à des comptes d’entreprise partout où il a été réutilisé.
• Données de tiers : un fournisseur compromis peut exposer vos données sur un site de fuite du dark web alors que vos systèmes restent intacts.
• Abus de marque : kits de phishing conçus à partir de vos pages de connexion, domaines ressemblants et faux portails s’échangent ouvertement.
• Ciblage avant attaque : des affiliés discutent de la sélection des cibles, de sorte que votre nom peut apparaître avant que quoi que ce soit ne soit chiffré.
• Signaux de menace interne : des employés proposent parfois un accès interne à la vente, un avertissement précoce venant de l’intérieur.

Chacun est observable avec la bonne collecte, et Singularity Identity détecte ce que la collecte manque en signalant un identifiant divulgué au moment même où quelqu’un l’utilise. La plupart des équipes n’ont ni l’un ni l’autre, en grande partie à cause de quelques mythes tenaces.

Corriger les mythes courants sur le dark web

Des modèles mentaux précis changent les décisions de surveillance du dark web. Les hypothèses ci-dessous orientent les programmes de sécurité dans la mauvaise direction, généralement en faisant paraître le problème sans espoir ou sans importance.

Le dernier coûte le plus cher, car il masque la moitié de ceux qui sont sur le réseau et pourquoi ils ne peuvent pas le quitter.

Améliorez votre veille sur les menaces

Découvrez comment WatchTower, le service de chasse aux menaces de SentinelOne, peut vous apporter de meilleures informations et vous aider à déjouer les attaques.

En savoir plus

Pourquoi les gens utilisent-ils le dark web ? Pourquoi existe-t-il ?

Les gens utilisent le dark web pour dissimuler un commerce criminel, ou pour échapper à la surveillance et au danger physique. Ces motivations sont incompatibles, pourtant les deux populations s’appuient sur les mêmes garanties d’anonymat. Votre modèle de menace doit en tenir compte.

Pourquoi les criminels l’utilisent

Les criminels utilisent le dark web parce qu’il résout le problème le plus difficile du commerce illégal : vendre à des inconnus sans révéler qui vous êtes. Les scores de réputation, le séquestre et les forums de litiges fournissent la confiance que l’identité apporte normalement ; la cryptomonnaie règle le paiement. C’est ce mécanisme qui permet à une seule violation de données de continuer à rapporter pendant des années après la clôture de l’intrusion elle-même.

Pourquoi les utilisateurs légitimes en dépendent

Les journalistes, dissidents et survivants d’abus dépendent du dark web pour leur sécurité physique, car les e-mails standard et les plateformes sociales divulguent des métadonnées révélant qui a contacté qui et quand. Tor a été conçu en pensant à ces utilisateurs. Le financement du gouvernement américain l’a soutenu exactement pour cette raison. Une même garantie sert les deux groupes, ce qui explique pourquoi le vocabulaire reste confus.

Le black web et les autres termes alternatifs

Le black web, le black website et le dark network renvoient tous au dark web, qui reste le terme technique standard et celui à utiliser dans un rapport :

• Le black web et le black website : formulations informelles, courantes dans la couverture généraliste.
• Le dark network: l’infrastructure d’anonymisation elle-même, principalement Tor, avec I2P et Freenet comme alternatives plus modestes.
• Darknet: un marché ou forum particulier fonctionnant sur cette infrastructure.

Traduire une fois évite toute confusion lorsqu'un dirigeant pose une question sur le black web et qu'un analyste répond à propos de la couverture .onion.

Surveillez le Dark Web avec SentinelOne

La surveillance du dark web n'est utile que lorsqu'elle s'exécute en continu et qu'elle est mise en correspondance avec vos actifs. Au moment où une analyse hebdomadaire revient, les identifiants ont déjà été utilisés, les données se sont propagées et une campagne est en cours.

La collecte propre à SentinelOne couvre les forums du dark web et les communautés fermées, en renvoyant des indicateurs de compromission ainsi que des résultats spécifiques à l'organisation sur l'exposition des identifiants et la planification des campagnes. Wayfinder threat hunting associe ce flux à des analystes humains, afin qu'un indicateur vous parvienne avec attribution et contexte.

Singularity AI SIEM corrèle ce renseignement avec votre télémétrie dans le Singularity Data Lake, transformant un identifiant divulgué en une question précise sur votre environnement. Purple AI exécute ensuite l'investigation sous forme de requêtes autonomes en plusieurs étapes en langage naturel. Dans une étude IDC Business Value, les utilisateurs de Purple AI ont identifié les menaces 63 % plus rapidement et ont remédié 55 % plus rapidement que les équipes travaillant manuellement.

Singularity Identity et Singularity Endpoint bouclent la boucle lorsqu'un identifiant exposé est utilisé. L'IA comportementale détecte le schéma de déplacement impossible, la plateforme peut isoler la session de manière autonome avant qu'un attaquant ne prenne pied, et Storyline reconstitue chaque processus, connexion et mouvement latéral sur une seule chronologie.

Latio a désigné SentinelOne comme leader des plateformes SOC dans son rapport 2026 sur le marché des opérations de sécurité, la première évaluation des plateformes SOC réalisée par le cabinet.

Demander une démo SentinelOne pour voir le renseignement sur les marchés criminels intégré à la réponse endpoint et identité.

Avenir du Dark Web

Le dark web continuera d'évoluer avec l'aide de nouvelles technologies d'anonymat, de changements dans la législation et des besoins des utilisateurs. Prévoir son avenir implique d'analyser les tendances en matière de chiffrement, de réglementation et de cryptomonnaies.

Voici cinq signes de ce à quoi pourrait ressembler l'Internet caché de demain :

1. Protocoles d'anonymat en évolution : Des méthodes de chiffrement avancées, de meilleurs systèmes de routage et de futurs réseaux de confidentialité peuvent encore améliorer le dark web. Les scientifiques expérimentent actuellement l'utilisation du chiffrement post-quantique pour garantir la sécurité face aux futures avancées de l'informatique. Cette complexité accrue rend difficile la pénétration du dark web par les forces de l'ordre, ce qui montre que le dark web reste très difficile à percer.
2. Essor des réseaux alternatifs : À l'heure actuelle, Tor est le plus populaire, mais il existe d'autres réseaux d'anonymat comme I2P qui pourraient gagner en popularité à l'avenir. Tous possèdent leurs attributs particuliers, des vitesses élevées à une compatibilité renforcée avec le streaming. Ces alternatives élargissent la classification des sites du dark web puisqu'elles offrent diverses possibilités d'hébergement de contenu dissimulé. Un Internet caché plus fragmenté peut nécessiter différentes approches pour analyser et surveiller le dark web.
3. Innovations en matière de cryptomonnaies : Le lien entre les cryptomonnaies et le dark web continuera probablement d'évoluer à mesure que davantage de monnaies favoriseront les transferts anonymes. La présence de blockchains axées sur la confidentialité telles que Zcash ou Beam prouve que le besoin d'instruments financiers anonymes reste présent. Les gouvernements, en revanche, ne sont pas restés en retrait dans le développement de monnaies numériques qui ralentissent ou redéfinissent les marchés obscurs.
4. Réglementations plus strictes :Les parlements de différents pays envisagent d’adopter une législation qui interdira ou réglementera l’utilisation d’outils sur le dark web. Par exemple, des propositions visent les services de chiffrement ou d’anonymat par la mise en œuvre de portes dérobées ou la conservation obligatoire des données. Ces politiques pourraient réduire l’usage général d’Internet, mais pourraient entraîner une augmentation de son utilisation par les criminels. Le dark web pourrait se scinder en deux pôles distincts, l’un purement criminel et l’autre purement légal, avec toutefois des niches spécialisées entre les deux.
5. Croissance du renseignement d'entreprise : On s’attend à ce que davantage d’entreprises prêtent attention au dark web afin de prévenir les fuites de données et de reconnaître les nouvelles menaces. Cela les a amenées à exiger la preuve que l’organisation dispose de solutions d’analyse efficaces avant de pouvoir être couvertes. Par conséquent, l’utilisation du dark web à des fins légitimes, notamment par le personnel de sécurité et les équipes de protection de la marque, augmentera considérablement. Il est possible qu’une telle professionnalisation affecte à l’avenir la nature des communautés en ligne cachées.