Shodan的注册注册入口在官网右上角，那个“Sign Up”按钮小得容易被忽略。注册点进去之后，注册你会发现它跟普通网站注册不太一样——没有手机号验证，注册没有微信扫码，注册甚至连邮箱验证都显得敷衍。注册填个邮箱、注册设个密码、注册勾选用户协议，注册三分钟搞定。注册但别高兴太早，注册真正的注册门槛在后面。
免费账号能用的注册功能极其有限。搜索次数被卡在每月100次，注册而且很多过滤条件直接灰色不可选。注册我第一次注册完兴冲冲搜了个“port:22”，结果只返回了零星几条结果，大部分还都是蜜罐。后来才知道，Shodan的免费账户基本等于给你看个预览版，想查真实资产分布、历史数据、导出结果，必须升级到会员。会员价格分三档：一次性49美元、每月19美元、每年199美元。对于偶尔查查设备的人来说，49美元那个最划算，但要注意它只给一年有效期。
注册时容易踩的坑
邮箱建议别用QQ邮箱。我试过，验证邮件经常被扔进垃圾箱，甚至直接拒收。Gmail、Outlook、ProtonMail都稳。密码要求倒是不高，8位以上就行，但别用弱密码——Shodan账号被盗的后果比普通网站严重得多，别人能拿你的额度去扫全网。
另一个坑是支付方式。Shodan只支持信用卡和PayPal，国内借记卡基本不行。我用招行Visa全币种卡试过，第一次被拒，第二次换了张中行的才成功。如果你没有双币信用卡，找个靠谱的代付渠道也行，但别贪便宜买那种“共享账号”，用不了几天就会被封。
注册之后先做这三件事
第一，去“My Account”里把API Key复制出来。这个Key是你调用Shodan接口的唯一凭证，泄露了等于把账号送人。第二，在搜索框里输入“net:你的IP段”看看自己家的设备暴露了什么。我第一次查的时候发现路由器管理页面居然对公网开放，吓得赶紧关了远程访问。第三，别急着扫别人的资产。Shodan有严格的滥用监控，短时间内大量请求会被临时封禁，甚至永久封号。免费账号尤其敏感，我见过有人一天搜了200次，第二天账号就没了。
有人问注册时要不要填真实姓名和公司。我的建议是：别填。Shodan不验证这些信息，填了反而可能被销售邮件轰炸。地址随便写个“Earth”都行，只要邮编格式对得上。至于那个“用途说明”的必填项，写“security research”或者“personal learning”通过率最高，写“penetration testing”反而会被人工审核卡几天。
一个真实案例
去年有个朋友注册完Shodan，拿免费额度扫了某高校的IP段，发现一台Redis服务器未授权访问。他截图发到技术群里，结果被人举报到Shodan官方。账号当天就被冻结，申诉邮件发了三封都没解封。Shodan的规则很明确：你可以看，但不能拿免费账号做明显带有攻击意图的批量扫描。想干这种事，至少买个会员，并且把请求频率控制在每分钟5次以内。
注册本身不难，难的是理解它的使用边界。免费账号适合尝鲜和偶尔查查自己的资产，真要拿它做资产测绘或者漏洞挖掘，49美元的一次性会员是底线。别想着用临时邮箱反复注册白嫖，Shodan会记录IP和浏览器指纹，封设备比封账号更狠。