Ein TLSA-Eintrag liegt unter _port._protocol.host, zum Beispiel _25._tcp.mail.example.com, und hat drei Felder: Certificate Usage (0 PKIX-TA, 1 PKIX-EE, 2 DANE-TA, 3 DANE-EE), Selector (0 vollständiges Zertifikat, 1 SubjectPublicKeyInfo) und Matching Type (0 exakt, 1 SHA-256, 2 SHA-512), gefolgt von den Daten. 3 1 1 (den eigenen öffentlichen Schlüssel des Servers über seinen SHA-256-Hash festlegen) ist die häufigste Wahl, weil diese Variante Zertifikatserneuerungen mit demselben Schlüssel übersteht.
Browser haben DANE nie übernommen, SMTP dagegen schon: RFC 7672 macht damit opportunistisches STARTTLS zwischen Mailservern authentifiziert und resistent gegen Downgrades, und Postfix, Exim sowie große Anbieter wie Microsoft Exchange Online unterstützen die DANE-Validierung für ausgehende Mails. MTA-STS ist die Alternative auf Basis der WebPKI.
Ein Schlüsselwechsel (Rollover) erfordert, dass schon vor dem Umstieg ein Eintrag für den nächsten Schlüssel veröffentlicht ist; der TLSA-Eintragsgenerator berechnet Einträge aus einem Zertifikat oder Schlüssel.