"API keys" "environment variables" (site:docs.github.com OR site:learn.microsoft.com OR site:developer.mozilla.org)Serve a trovare documentazione ufficiale su come gestire API key ed environment variables. Non usarla per cercare chiavi altrui.
Query avanzate per ricerche più serie
Operatori Google e query pronte per trovare fonti, documentazione, report pubblici e discussioni tecniche senza finire in ricerche inutili o rischiose.
Il concetto
Cos’è un Google dork
Una query costruita con operatori di ricerca per filtrare meglio i risultati: domini specifici, file pubblici, titoli, date e parole da escludere.
Non è una tecnica magica: è un modo più preciso di fare ricerca. Usato bene aiuta a trovare documentazione ufficiale, report pubblici, discussioni tecniche e fonti verificabili. Usato male può portare verso dati sensibili o ricerche che non dovresti fare.
Sintassi
Operatori utili
Bastano pochi operatori per passare da una ricerca generica a una raccolta di fonti più pulita.
site:Limita i risultati a un dominio o a una categoria di dominio.filetype:Cerca documenti pubblici come PDF, DOCX, CSV o slide.intitle:Richiede una parola nel titolo della pagina."frase esatta"Cerca parole nello stesso ordine.-termineEsclude risultati rumorosi o non pertinenti.after:Filtra contenuti dopo un anno o una data.Query lecite
Ricerche da copiare
Puoi adattarle per Google, Bing, GitHub, Reddit o documentazione ufficiale.
"AI coding agents" (filetype:pdf OR filetype:ppt OR filetype:pptx) -password -token -secretPer trovare materiale pubblico indicizzato senza cercare dati sensibili.
"Angular Static Web Apps" site:github.com (issues OR discussions OR README)Per vedere problemi reali, workaround e note di progetto.
"vibe coding" after:2024 (guide OR tutorial OR checklist)Per evitare risultati vecchi quando il tema cambia rapidamente.
Self-audit
Controlla l’esposizione pubblica
Queste query non leggono repository privati. Servono a controllare se qualcosa del tuo progetto è finito in pagine pubbliche o indicizzate.
site:github.com "OPENAI_API_KEY" OR "api_key" OR ".env"Il tuo progetto appare in una ricerca pubblica di questo tipo? Houston, abbiamo un problema.
Azione: Questa query non vede repo privati: controlla repo pubblici, fork, gist, issue e snippet che possono essere indicizzati.
site:github.com/tuo-utente "OPENAI_API_KEY" OR "api_key" OR "local.settings.json"Sostituisci tuo-utente con il tuo account o la tua organizzazione GitHub.
Azione: Se trovi segreti, revoca le chiavi, rimuovile dal repo e controlla la cronologia dei commit.
site:gist.github.com "OPENAI_API_KEY" OR "api_key" OR "local.settings.json"Controlla se appunti, snippet o prove veloci sono diventati pubblici.
Azione: I gist dimenticati sono facili da sottovalutare: se trovi segreti, revoca subito le chiavi.
site:github.com "OPENAI_API_KEY" OR "DATABASE_URL" OR "connection string" "issue"Cerca tracce finite in issue, log incollati o discussioni pubbliche.
Azione: Se il dato è in un log pubblico, trattalo come compromesso anche se poi lo cancelli.
Repo privati
Per i repo privati serve altro
Google dorks non sostituiscono uno scan vero del codice. Per repository privati e cronologia Git servono controlli interni al progetto.
- GitHub secret scanning o strumenti equivalenti del provider.
- Scanner locali come trufflehog, gitleaks o git-secrets.
- Controllo della cronologia git, non solo dell’ultimo commit.
- Regole CI che bloccano commit con .env, token o connection string.
Checklist extra
Altri self-audit utili
Sostituisci i placeholder con dati tuoi: dominio, progetto, username o email tecnica.
site:tuodominio.it (filetype:pdf OR filetype:xlsx OR filetype:csv OR filetype:log OR "staging" OR "debug")Controlla se il tuo dominio indicizza file, log, pagine staging o materiali che non volevi pubblicare.
Azione: Se trovi contenuti vecchi o sensibili, rimuovili, blocca l’indicizzazione e aggiorna sitemap/robots quando serve.
"nome-progetto" ("blob.core.windows.net" OR "amazonaws.com" OR "storage.googleapis.com" OR "cdn")Aiuta a trovare riferimenti pubblici a bucket, blob, CDN o asset collegati al tuo progetto.
Azione: Verifica permessi, listing pubblico, file caricati per test e URL condivisi in documenti o issue.
"tua-email@dominio.it" OR "tuo-username" ("api" OR "token" OR "debug" OR "staging")Mappa dove compaiono email tecniche, username e riferimenti operativi legati al progetto.
Azione: Utile per capire la superficie pubblica del tuo profilo tecnico, non per cercare dati di altre persone.
"nome-progetto" (site:npmjs.com/package OR site:pypi.org/project OR site:packagist.org/packages)Controlla se hai pubblicato pacchetti, demo o librerie con nomi collegati al progetto.
Azione: Verifica README, esempi, config e file inclusi nel pacchetto prima di lasciarlo pubblico.
site:tuodominio.it ("Stack trace" OR "Traceback" OR "Exception" OR "RuntimeError" OR "NullReferenceException")Cerca errori e debug output indicizzati sul tuo dominio.
Azione: Se trovi stack trace pubblici, disattiva debug in produzione e controlla log, error pages e monitoring.
site:tuodominio.it ("/admin" OR "/debug" OR "/swagger" OR "/api-docs" OR "/health")Verifica se percorsi tecnici del tuo dominio sono indicizzati o troppo visibili.
Azione: Usala solo sui tuoi domini. Se una route deve restare privata, proteggila con auth e configurazione server, non solo con robots.txt.
Policy responsabile
Controlla ciò che la ricerca può dimostrare
Una query aiuta a trovare pagine pubbliche. L’assenza di risultati non dimostra che un file sia privato o che un segreto non sia stato esposto: per un repository usa anche i controlli interni.
- Usa query avanzate per trovare fonti, non per cercare accessi o dati privati.
- Evita parole come password, token, secret, dump, leak e pannelli admin.
- Verifica sempre autore, data e contesto della fonte.
- Quando una query trova qualcosa di sensibile, non condividerlo e non usarlo.