Shodan Nedir, Nasıl Kullanılır? Ücretli mi? (2026)

Shodan nedir sorusunun kısa cevabı şu: internete bağlı cihazları ve servisleri arayan bir arama motoru. Shodan ne işe yarar? Bir IP adresinde hangi portun açık olduğunu, orada hangi yazılımın hangi sürümle çalıştığını gösterir. Güvenlik ekipleri kendi kurumlarının dışarıdan nasıl göründüğünü onunla kontrol eder. Temel aramayı ücretsiz bir hesapla yaparsın, gelişmiş özellikler ücretlidir.

Shodan nedir ve nasıl çalışır?

Shodan, tarayıcılarıyla internetteki IP adreslerine bağlanır ve her portta karşılaştığı servisin kendini tanıtan yanıtını kaydeder. Bu yanıta banner denir. Banner'da yazılım adı, sürüm, HTTP başlıkları ya da SSL sertifikası bulunabilir. Shodan bu kayıtları bir veritabanına koyar ve aranabilir hâle getirir.

Shodan'ın yardım belgelerine göre tarayıcılar interneti en az haftada bir kez baştan tarar. Arama sonuçları ve IP sayfaları, son 30 günde toplanan en güncel banner'ı gösterir. Yani gördüğün şey canlı bağlantı değil, yakın tarihli bir fotoğraftır. Servisi John Matherly 2009'da yayına aldı.

Bir IP için Shodan'da gördüğün başlıca bilgiler:

Konum, IP adresinden yapılan bir tahmindir. Evin ya da cihazın tam adresini göstermez.

Shodan ile Google arasındaki fark nedir?

Google bir sayfanın ne yazdığını gösterir, Shodan bir servisin ne olduğunu ve nerede durduğunu gösterir. Google sayfa içeriğini, Shodan servislerin kendileri hakkında yaydığı üstveriyi dizinler.

Nmap'ten farkı da önemli. Shodan pasif keşiftir: hedefe senin bilgisayarından tek paket gitmez, Shodan'ın daha önce topladığı kaydı okursun. Nmap ise taramayı o an senin bilgisayarından yapar. Bu yüzden Nmap'i yalnız kendi ağında ya da yazılı izinle kullanırsın. Ayrıntıları Nmap nedir yazısında bulabilirsin.

Shodan ücretli mi, API anahtarı ne işe yarar?

Shodan'ın temel kullanımı ücretsizdir, ama düzenli iş için ücretli plan gerekir. Hesap açmadan yalnız filtresiz anahtar kelime araması yapabilirsin. Sorguya bir filtre eklediğinde Shodan'ın arama sayfası giriş yapmanı ister. Ekim 2026 itibarıyla resmî fiyat sayfasındaki seçenekler şöyle:

Membership bir abonelik değildir. Shodan onu bir kez ödenen, ömür boyu geçerli bir hesap yükseltmesi olarak tanımlar. Üniversite öğrencisiysen önce akademik yolu dene. Shodan, sonu .edu gibi akademik uzantıyla biten adreslerle açılan hesaplara bu yükseltmeyi otomatik verir. Adresin otomatik tanınmazsa akademik yükseltme sayfasındaki yönergeyle kayıtlı e-postandan başvurursun.

API anahtarı, komut satırı aracının ve kendi betiklerinin Shodan'a senin hesabınla bağlanmasını sağlayan kimliktir. Ücretsizdir ve hesap açınca hesap sayfanda görünür. Kredi kuralı basittir:

• Komut satırında ya da API'de filtre kullanırsan veya ikinci sayfaya geçersen 1 sorgu kredisi düşer.
• Sonuç sayısını veren count işlemi kredi harcamaz.
• Bir IP'yi senin isteğinle yeniden taratmak 1 tarama kredisi harcar.
• Krediler her ayın başında yenilenir.

Shodan nasıl kullanılır? İlk aramalar ve filtreler

Shodan'ı web arayüzünde dört adımda kullanırsın:

1. Ücretsiz bir hesap aç ve giriş yap. Filtreler girişsiz çalışmaz.
2. Önce yalın bir kelimeyle ara, örneğin nginx. Shodan varsayılan olarak yalnız banner metninde arar.
3. Aramayı filtre:değer biçimiyle daralt. Filtre adıyla değer arasında boşluk olmaz. Değerde boşluk varsa tırnak kullanırsın: city:"Istanbul".
4. Bir sonuca tıkla. IP sayfasında açık portları, banner'ları ve son görülme tarihini incele.

Filtreleri birleştirdikçe sonuç kümesi daralır. Örneğin product:nginx country:TR, Türkiye'de görünen nginx sunucularını getirir. En çok kullanılan filtreler:

vuln ve tag filtreleri kısıtlıdır. vuln en az Small Business planı, tag Corporate planı ister. Akademik yükseltme alan hesaplar vuln filtresini web sitesinde kullanabilir.

Shodan komut satırından nasıl kullanılır?

Tekrarlanan işlerde komut satırı aracı web arayüzünden daha pratiktir. Araç Python paketi olarak kurulur ve API anahtarınla eşleştirilir:

pip install -U --user shodan
shodan init API_ANAHTARIN

Kurulumdan sonra en çok şu komutları kullanırsın:

Sorgu kredisini filtreli search ve ikinci sayfaya geçmek harcar. Hesabında sorgu kredisi yoksa filtreli search komutu hata verir. count ve onu kullanan stats kredi harcamaz. Geniş bir sorguya başlamadan önce shodan count ile hacmi gör, kalan kredini arada shodan info ile kontrol et.

Kendi kurumunu Shodan'da nasıl kontrol edersin?

Shodan'ın asıl değeri savunmadadır. Güvenlik ekibi kendi IP aralıklarını ve alan adlarını arayarak unutulmuş test sunucularını, internete açılmış yönetim panellerini ve eski sürümlü servisleri bulur. Bu işe saldırı yüzeyi yönetimi denir. Aşağıdaki sorgular yalnız sana ait varlıklar içindir. Örnek değerleri kendi aralığınla ve alan adınla değiştir.

Her kayıt için üç soru sor: Bu servis internete açık olmalı mı? Sürümü güncel mi? Önünde güçlü kimlik doğrulama var mı? Cevaplardan biri hayırsa servisi kapat, VPN arkasına al ya da erişimi belirli adreslerle sınırla.

Tek seferlik kontrol yerine sürekli izleme istiyorsan Shodan Monitor var. IP aralıklarını ya da alan adını eklersin, beklenmedik bir şey göründüğünde e-posta, Slack, Microsoft Teams, Telegram ya da webhook gibi kanallardan haber alırsın. Membership 16 IP izlemeye yeter, daha büyük ağlar aylık plan ister.

Shodan'ın tarayıcılarını engellemek çözüm değildir, çünkü başka tarayıcılar ve saldırganlar aynı servisi yine görür.

Shodan'da cihazım görünüyor, ne yapmalıyım?

Ev kullanıcısı için de kontrol birkaç dakika sürer:

1. Dış IP adresini öğren. shodan myip komutu ya da modem arayüzündeki internet (WAN) bilgisi bunu gösterir.
2. Shodan'ın web sitesinde bu adresi arat. IP sayfası açık portları ve son görülme tarihini listeler.
3. Bir port açık görünüyorsa onu ya modemin kendisi ya da modemin içeri yönlendirdiği bir cihaz dinliyordur. Bu cihaz bir kamera kaydedicisi, ağ diski, oyun sunucusu ya da uzak masaüstü olabilir.
4. Modem arayüzünde port yönlendirme ve UPnP listesine bak. Tanımadığın ya da artık kullanmadığın kuralı sil, uzaktan yönetimi kapat. Adımlar modem güvenliği rehberinde var.
5. Cihazı güçlendir: varsayılan parolayı değiştir, yazılımını güncelle. Dışarıdan erişim şartsa portu açmak yerine üreticinin uygulamasını ya da VPN kullan. Kamera ve televizyon gibi cihazlar için akıllı TV ve ev cihazları rehberine bak.
6. Kaydın düşmesini bekle. Shodan son 30 günün kaydını gösterdiği için kapattığın servis bir süre daha listede kalabilir. Membership'in tarama kredisiyle kendi IP'ni yeniden taratıp düzelttiğini doğrulayabilirsin.

İki durumda kayıt sana ait olmayabilir. Ev bağlantılarında IP adresi zamanla değişebilir, eski kayıt adresi senden önce kullanan bir aboneye ait olabilir. Bazı operatörler de birçok aboneyi aynı dış adresin arkasında toplar. Modem arayüzündeki WAN adresi ile shodan myip çıktısı farklıysa bu ihtimal güçlüdür.

Shodan kullanmak yasal mı?

Shodan'da arama yapmak, Shodan'ın zaten topladığı herkese açık kaydı okumaktır. Sınır, bulduğun sisteme bağlanmaya başladığın yerde çizilir. Türk Ceza Kanunu'nun 243. maddesi bir bilişim sistemine hukuka aykırı olarak girmeyi ya da orada kalmaya devam etmeyi suç sayar. Temel hâlinin cezası bir yıla kadar hapis ya da adlî para cezasıdır. Varsayılan parolayla bir kamera paneline giriş denemek "sadece baktım" sayılmaz.

Başkasına ait açık bir servis görürsen bağlanma ve giriş deneme. Kurumun bir güvenlik bildirim kanalı ya da bug bounty programı varsa oradan bildir. Programı olmayan sistemlerde nasıl ilerleyeceğini ve cezaların ayrıntısını hacking yasal mı yazısı anlatıyor.

Shodan, Censys, ZoomEye ve FOFA arasındaki fark nedir?

Dördü de interneti tarayıp açık servisleri dizinler. Farklı zamanlarda ve farklı portlarda taradıkları için sonuçları birebir örtüşmez.

Pratik öneri: Kendi IP adresini en az iki motorda arat. Birinin kaçırdığını öteki gösterebilir. Bu motorların OSINT araç kutusundaki yerini OSINT araçları 2026 listesinde görebilirsin.

Yeni başlayanlar Shodan'ı nasıl öğrenir?

• Kendi adresinle başla. İlk sorgun kendi IP adresin ya da kendi alan adın olsun. Hem yasal hem öğretici.
• Sürümü yorumlarken dikkatli ol. Banner'daki sürüm eski görünüyor diye sistem açıktır diyemezsin. Bazı Linux dağıtımları güvenlik yamasını ana sürüm numarasını koruyarak ekler. Banner da elle değiştirilebilir.
• Sorgularını kaydet. Hangi sorguyla ne bulduğunu not et ki aynı kontrolü bir ay sonra tekrarlayabilesin.

Pasif keşif mantığını adım adım öğrenmek için öğrenme yollarındaki keşif bölümüne bak. Alan adından sunucuya giden bir izi güvenli bir ortamda sürmek için de laboratuvarı kullan.

Kaynaklar

• Shodan: Fiyatlar ve planlar
• Shodan Yardım: Kredi türleri
• Shodan Yardım: Veri zaman aralıkları
• Shodan Yardım: Akademik yükseltme
• Mevzuat: 5237 sayılı Türk Ceza Kanunu