deSECが無料で提供するセキュアDNS、DNSSECを常時適用し非営利運営
deSEC – Free Secure DNS
deSECは、セキュリティを重視した無料のDNSホスティングサービスです。オープンソースソフトウェアで構築され、SSEの支援を受けています。DNSSECを常時適用し、最新の楕円曲線暗号を使用。TerraformやGo、Python、JavaScript向けのバインディングを備え、HTTPS/SVCBなどの最新レコードタイプにも対応。直感的なWebインターフェースとREST APIを提供し、2FA、IPv6、Anycastによる低遅延、Let's Encrypt統合も特徴です。非営利団体としてベルリンで運営され、ICANN Grant ProgramやNLnet Foundationなどの支援を受けています。
deSECは100%フリーでオープンソースなソフトウェアで動作しています。
HNでの議論
37- dmm
deSECに切り替えたのは、DNS-01バリデーション用のトークンを作成でき、それが単一のサブドメインに厳密に制限されているからだ。つまり、公開されていないがletsencryptから証明書を取得できる「service1.foo.example.com」を実行しているVMがあり、他のドメインの証明書を発行できないトークンを使っている。うまく機能している！
- awill
サインアップしたら、DDNSでは単一のサブドメインしか許可されておらず、それ以上必要な場合はサポートに連絡するようにと書かれていた。メールでサブドメインをもう1つだけ追加してもらえないか頼んだところ、サポートからは、私のユースケースならCloudFlareを使うべきだと言われた。だからそうした。馬鹿げた細かい制限はない。
- zetanor
最後にdeSECを試したとき、サービスは信頼性が高く、導入する価値は十分にあったが、Web UIとAPIはどちらもかなり粗削りで、伝播もかなり遅い傾向があった。例えば、ACME DNS01チャレンジを実行するのは面倒だった。IIRC、APIには置き換えや編集のための完全なエンドポイントがなかったので、DNSControl（https://github.com/DNSControl/dnscontrol）でも更新中にレコードがしばらく存在しなくなってしまうことがあった。余談だが（これは間違いなくdeSECにも当てはまる）、多くのDNSサービス（無料・有料を問わず）が単純なBindゾーンファイルのインポートに苦労し、曖昧なエラー（「1つ以上のレコードをインポートできませんでした」）を出したり、レコードを壊したり、あるいは黙ってレコードを省略したりすることがよくあるのは不思議だ。ゾーンファイルの解析にはいくつか落とし穴があるが、それほど難しいことではないように思える。
- TheBozzCL
私はまさにHurricane ElectricからdeSECに切り替えたばかりだ。HEで唯一の実際の問題は、ワイルドカードCNAMEを許可していないことだが、これは大きな問題だ。公開せざるを得ないいくつかの機密性の高いエンドポイントのセキュリティにとって、これは重要だと考えている。それらのエンドポイントは2FAでしっかり保護され、厳重に監視されているが、少なくともその上に難読化を施すために、ランダム化されたサブドメインを使えるようにしたかった。
- aequitas
最近deSECに移行したが、今のところ素晴らしい経験だ。ただし、約100ドメインでTofuを使ってプランと適用を行う際にAPIレート制限に当たったこと以外は。今のところ`-parallelism=1`を使っているが、これでうまくいっているようだ。