Shodan API
Le moteur de recherche des objets et services connectés à Internet, accessible par API.
Shodan est un moteur de recherche dédié aux appareils et services exposés sur Internet : serveurs, caméras, routeurs, bases de données, systèmes industriels et objets connectés. Plutôt que d'indexer des pages web, il crawle en continu les adresses IP et recense les ports ouverts, les bannières de services et les vulnérabilités associées. Son API REST permet d'interroger cet index, d'enrichir des adresses IP, de lancer des scans à la demande et de surveiller l'exposition d'un parc. Elle s'adresse aux équipes de sécurité, aux chercheurs, aux pentesters et aux développeurs d'outils de cartographie de surface d'attaque.
Que propose l'API Shodan ?
Tarifs de l'API Shodan
Modèle par abonnement et crédits. Une adhésion Membership à vie débloquée par un paiement unique, puis des abonnements API mensuels (Freelancer, Small Business, Corporate) qui définissent les query credits, scan credits et IP surveillées. Des plans Enterprise sur devis offrent des ressources illimitées et l'accès aux données en masse.
Offre gratuite — Un compte gratuit permet de tester la recherche de base avec un nombre très restreint de résultats et de crédits, sans usage commercial. L'accès complet à l'API (filtres, scans, monitoring, usage commercial) nécessite au minimum l'adhésion Membership à 49 $ ou un abonnement API.
Authentification & intégration
Clé API transmise en paramètre de la requête (key). La clé est associée au compte et à son plan, qui détermine les crédits et filtres disponibles.
API REST renvoyant du JSON. Les requêtes de recherche et d'enrichissement d'IP sont synchrones et consomment des query credits ; les scans à la demande consomment des scan credits ; le streaming fournit un flux temps réel. Une CLI et des bibliothèques officielles (dont Python) facilitent l'intégration.
Cas d'usage de l'API Shodan
- Cartographier la surface d'attaque exposée sur Internet d'une organisation.
- Enrichir des adresses IP avec leurs ports ouverts, services et vulnérabilités connus.
- Détecter des appareils ou services mal configurés et exposés (bases de données, caméras, panneaux d'admin).
- Surveiller en continu un parc d'IP et recevoir des alertes sur les nouvelles expositions.
- Mener des recherches en sécurité sur la diffusion d'une technologie ou d'une vulnérabilité.
- Lancer des scans ciblés à la demande dans le cadre d'un audit ou d'un pentest.
✓ Points forts
- Index unique et très riche des appareils et services exposés sur Internet.
- Enrichissement d'IP immédiat avec ports, services, bannières et vulnérabilités.
- Adhésion à vie peu coûteuse (49 $) pour débloquer l'usage commercial de base.
- Fonctions avancées : scans à la demande, monitoring avec alertes, streaming et données en masse.
- CLI et bibliothèques officielles, dont un client Python bien documenté.
⚠ Limites
- Le compte gratuit est très limité et ne convient qu'à la découverte.
- Les filtres avancés (vulnérabilités, tags) ne sont disponibles que sur certains plans, dont Corporate.
- Le système de query credits et scan credits demande de surveiller sa consommation.
- Les besoins importants (illimité, bulk data) basculent vers des plans Enterprise sur devis.
Questions fréquentes sur l'API Shodan
Shodan propose-t-il une offre gratuite ?
Un compte gratuit permet de découvrir la recherche avec très peu de crédits et de résultats, sans usage commercial. Pour un accès réel à l'API, il faut au minimum l'adhésion Membership à 49 $ ou un abonnement API.
Comment s'authentifier à l'API Shodan ?
Avec une clé API associée à votre compte, transmise en paramètre key de chaque requête. Le plan rattaché à la clé détermine les crédits et les filtres disponibles.
Que sont les query credits et scan credits ?
Les query credits sont consommés par les recherches dans l'index Shodan, et les scan credits par les scans à la demande sur des adresses IP. Chaque plan attribue un quota mensuel de ces deux types de crédits.
Combien coûte Shodan ?
Une adhésion Membership à vie coûte 49 $ en paiement unique. Les abonnements API démarrent à 69 $/mois (Freelancer), puis 359 $/mois (Small Business) et 1 099 $/mois (Corporate), avec des plans Enterprise sur devis.
Peut-on enrichir une adresse IP avec Shodan ?
Oui, via l'API Host : on interroge une adresse IP et on récupère ses ports ouverts, ses services, ses bannières et les vulnérabilités connues, à partir des données collectées par les crawls de Shodan.
Shodan permet-il de surveiller son parc ?
Oui, la fonction Monitor surveille en continu une liste d'adresses IP et envoie des alertes en temps réel dès qu'un nouveau service ou une nouvelle exposition est détecté. Le nombre d'IP surveillées dépend du plan.
