deSEC（deSEC）是一项免费的 DNS 托管服务，设计之初就将安全性作为核心考量。该服务基于开源软件运行，由 SSE 提供支持，面向所有人免费开放使用。所有托管在 deSEC 的 DNS 信息均会始终使用 DNSSEC 进行签名，并采用最先进的椭圆曲线加密技术。
正文
面向所有人的现代 DNS 托管
deSEC 是一个免费 DNS 托管服务，设计之初就将安全性放在核心位置。
它运行在开源软件之上，由 SSE 提供支持，所有人都可以免费使用。
DNSSEC
托管在 deSEC 的 DNS 信息始终使用 DNSSEC 进行签名。我们采用最先进的椭圆曲线加密技术。除了遵循运营最佳实践，我们也采纳最新的技术发展。
云服务集成
得益于云服务集成和语言绑定，deSEC 可以在自动化环境中开箱即用。示例包括 Terraform 提供商以及 Go、Python 和 JavaScript 绑定。
现代记录类型
我们支持广泛的记录类型，包括新型类型，如 HTTPS/SVCB（用于顶层域名的类 CNAME 行为）、CDNSKEY/CDS（RFC 8078、RFC 8901），以及 OPENPGPKEY、SMIMEA 和 TLSA。
Web 界面
我们认为我们拥有市场上最出色的图形界面。得益于实时记录验证和解析，使用起来非常直观且快速（即使在移动设备上也是如此）。您可以导入域名来开始使用。
REST API
通过我们的现代 API 对您的 DNS 进行完全控制，并享受批量操作等高级功能。它文档完善，可以轻松集成到您的脚本、工具或 CI/CD 流程中。
多因素认证 (2FA)
不小心把密码泄露给别人了？启用 MFA 以保障您的账户安全。目前我们支持 TOTP 令牌（身份验证器应用），WebAuthn 支持也在开发中。
可扩展性
如果您是虚拟主机提供商？哪怕拥有数千个域名，也可以开始使用 deSEC。我们的全球网络确保在任何地方都具有高可用性和高性能。您可以联系我们讨论您的具体使用场景。
IPv6
deSEC 完全支持 IPv6：管理操作可以通过 v6 完成，可以设置包含 IPv6 地址的 AAAA 记录，我们的名称服务器也可以通过 IPv6 访问。
快速更新
对 DNS 信息的更新将在几秒钟内发布到全球。最低 TTL 设置得较低。
DANE / TLSA
使用 TLSA 记录保护您的网络服务，防止欺诈性签发的 SSL 证书。您也可以使用其他 DANE 技术，例如 OPENPGPKEY 密钥交换。
Let's Encrypt 集成
我们提供与 Let's Encrypt 及其 certbot 工具的简易集成。也支持与其他工具（如 acme.sh、lego 和 Terraform）的进一步集成。
低延迟 Anycast
我们运行着由高性能前端 DNS 服务器组成的全球网络。您的查询会通过 Anycast 路由到最近的服务器，让客户端以最快速度收到响应。
开源
deSEC 100% 基于自由和开源软件运行。您可以随时开始探索！
非营利性质
deSEC 是总部位于柏林的非营利组织。我们确保在商业利益面前，隐私不会受到损害。
支持者
在我们的项目“通过自动化缩小 DNSSEC 成熟度差距”中，我们开发能够自动部署 DNSSEC 的技术解决方案，并与 DNS 和域名行业参与者合作，促进这些自动化标准在现实世界中的引入。该项目得到了 ICANN 资助计划 的支持。
deSEC 的工作获得了 NLnet 基金会 的资助，用于 DNSSEC 的自动化和未来适用性。NGI Assure 基金在欧洲委员会“下一代互联网”计划的财政支持下成立，致力于提供强有力保证的互联网安全与可信技术。
通过其社区项目基金，RIPE NCC 在 2023 年支持了我们的 DNS 平台持续运营，特别是覆盖了全球 Anycast 网络的费用。我们非常感谢他们的支持。
Layershift 是一家在英国、新加坡和美国提供服务的托管 VPS 提供商。他们创建并维护了一个 deSEC Plesk 扩展，并通过在其每个服务区域采用前端服务器来支持我们。
作为 DNS4EU 联盟成员，deSEC 致力于确保实现稳健且现代的 DNS 安全和隐私功能。这包括对最先进 DNSSEC 以及加密 DNS 传输的支持。
合作伙伴
合作伙伴包括 Nextcloud、SSE、Sav 和 Hansson IT。
deSEC 全球 Anycast 网络
前端服务器的全球分布确保了无论用户身处地球何处，都能快速获得查询响应。您可以通过“认领”前端服务器来帮助我们分担成本，或者在目前还没有前端的地区添加一台服务器，以此支持 deSEC。
评论
讨论整体偏向认可 deSEC 的安全合规与免费定位，但在服务完整性、运营可持续性和隐私可信度上分歧明显，部分用户因功能限制或政策原因转向 Cloudflare 等替代方案。
认可 deSEC 的安全合规与易用性
- 不少用户认为 deSEC 是欧盟范围内少有的合规且支持先进 DNSSEC 的高性价比 DNS 服务商，适合不想将 DNS 与注册商绑定、抗拒 Cloudflare 过度集中的用户（较多人）
- 有用户提到其支持细粒度作用域的 DNS-01 验证令牌，可让仅持有单子域权限的服务独立完成证书申请，安全性更优（高赞）
- 还有用户表示迁移后整体体验良好，客服响应及时，适合长期托管多个域名（高赞） > 我用 deSEC 已经几年了，没出过问题。主要是不想让注册商托管我的 DNS，这样转移域名时不用操心 DNS 的事，也不喜欢现在互联网越来越向 Cloudflare 集中。（@MattTheRealOne）
质疑功能完整性与使用体验
- 部分用户指出服务存在明显短板，包括不支持 AXFR 协议、API 端点不全、记录更新时存在短暂空窗、 propagation 速度偏慢，导致 ACME DNS01 验证等场景使用不便（较多人）
- 有用户反馈免费版动态 DNS 仅允许单个子域，申请增加额度时被建议改用 Cloudflare，认为限制过于苛刻（高赞）
- 另有用户提到网页界面和注册表单在移动端存在显示异常，影响首次使用体验（少数人） > 我上次用 deSEC 的时候服务是可靠的，性价比也不错，但网页界面和 API 都比较粗糙，记录生效也偏慢。比如做 ACME DNS01 挑战就很麻烦，API 好像没有完整的替换和编辑端点，连 DNSControl 更新时都会让记录短暂消失。（@zetanor）
担忧运营可持续性与数据主权
- 有用户质疑其免费模式缺乏收入来源，长期生存能力存疑（少数人）
- 还有用户怀疑其隐私属性，认为其虽宣称德国运营，但安全顾问来自美国弗吉尼亚，并非真正自主的欧盟项目，实际仍受五眼联盟影响（少数人） > 既然他们不收钱，我怎么能相信他们能活下去？（@anonymousiam）
有价值的补充
- 有用户建议可搭配 unbound 等自建递归 DNS 方案使用，以进一步降低对第三方 DNS 服务的依赖
- 有用户分享当管理的域名数量达到上百个时，使用 Terraform 类工具同步变更容易触发 API 速率限制，临时通过降低并行数可规避问题
- 有用户提到不少 DNS 服务在导入标准 Bind 区域文件时表现不佳，常出现模糊报错、记录错乱或静默丢弃，解析逻辑虽复杂但本不该如此难做