deSEC: Kostenloses DNS-Hosting mit automatischer DNSSEC-Signierung
deSEC – Free Secure DNS
deSEC ist ein kostenloser DNS-Hosting-Dienst, der auf Open-Source-Software basiert und vom Berliner Non-Profit-Verein SSE betrieben wird. Alle DNS-Informationen werden standardmäßig mit DNSSEC signiert, wobei moderne Elliptische-Kurven-Kryptografie zum Einsatz kommt. Die Plattform bietet eine benutzerfreundliche Weboberfläche mit Echtzeit-Validierung, eine umfangreiche REST-API, Integrationen mit Terraform und Let's Encrypt sowie Unterstützung für moderne Record-Typen wie HTTPS/SVCB und TLSA. Dank Anycast-Netzwerk und IPv6-Unterstützung sind die Server weltweit schnell erreichbar. deSEC wird von ICANN, NLnet und RIPE NCC gefördert.
Wir glauben, dass wir die coolste GUI auf dem Markt haben – dank Echtzeit-Validierung und Parsing ist sie sehr intuitiv und schnell zu bedienen, sogar auf mobilen Geräten.
- dmm
Ich bin zu deSEC gewechselt, weil man dort Tokens für die DNS-01-Validierung erstellen kann, die eng auf eine einzelne Subdomain begrenzt sind. Das bedeutet, ich habe eine VM, die "service1.foo.example.com" heißt, nicht öffentlich erreichbar ist, aber trotzdem Zertifikate von Let's Encrypt bekommen kann – mit einem Token, mit dem man keine Zertifikate für andere Domains ausstellen kann.
Funktioniert einwandfrei!
- awill
Ich habe mich angemeldet und gesehen, dass sie nur eine einzelne Subdomain für DDNS erlauben, mit dem Hinweis in der Doku, bei Bedarf den Support zu kontaktieren. Ich habe per E-Mail um nur eine weitere Subdomain gebeten, und der Support sagte mir, für meinen Anwendungsfall solle ich einfach Cloudflare nutzen.
Also habe ich das getan. Keine albernen Mini-Einschränkungen.
- zetanor
Als ich deSEC zuletzt ausprobiert habe, war der Dienst zuverlässig und den Eintrittspreis wert, aber die Weboberfläche und die API waren beide ziemlich rau, und die Propagation war tendenziell recht langsam. Es war zum Beispiel nervig, eine ACME-DNS01-Challenge darüber zu machen. Wenn ich mich recht erinnere, hatte die API keinen vollständigen Satz an Ersetzen/Bearbeiten-Endpunkten, sodass selbst DNSControl (https://github.com/DNSControl/dnscontrol) während Updates Records eine Weile lang nicht existent ließ.
Nebenbei (obwohl das sicherlich auf deSEC zutrifft) finde ich es seltsam, wie viele DNS-Dienste (kostenlos oder kostenpflichtig) sich mit dem Import einfacher Bind-Zonendateien schwer tun, oft entweder eine vage Fehlermeldung liefern ("ein oder mehrere Records konnten nicht importiert werden"), Records verstümmeln oder sogar stillschweigend weglassen. Das Parsen einer Zonendatei hat einige Stolperfallen, aber es scheint nicht so, als sollte das so schwer sein.
- TheBozzCL
Ich bin buchstäblich gerade von Hurricane Electric zu deSEC gewechselt. Das einzige echte Problem, das ich mit HE hatte – aber es ist ein großes – ist, dass sie keine Wildcard-CNAMEs erlauben. Ich halte das für wichtig für die Sicherheit einiger sensibler Endpunkte, die ich keine andere Wahl habe, als öffentlich zu exponieren. Diese Endpunkte sind gut mit 2FA geschützt und stark überwacht, aber ich wollte in der Lage sein, randomisierte Subdomains zu verwenden, um zumindest eine gewisse Verschleierung obendrauf zu haben.
- aequitas
Kürzlich zu deSEC migriert, bisher großartige Erfahrung, abgesehen davon, dass ich beim Planen und Anwenden von Änderungen mit Tofu auf das API-Ratenlimit gestoßen bin, mit rund 100 Domains. Im Moment verwende ich `-parallelism=1`, was zu funktionieren scheint.