Zwei Teile: ein DNS-TXT-Eintrag unter _mta-sts.example.com (v=STSv1; id=20261020), der eine Richtlinie und ihre Version ankündigt, und eine Richtliniendatei unter https://mta-sts.example.com/.well-known/mta-sts.txt mit version: STSv1, mode: enforce, testing oder none, einem oder mehreren Mustern mx: und max_age in Sekunden. Sendende Server speichern die Richtlinie im Cache und verweigern die Zustellung an MX-Hosts, deren Zertifikatsprüfung fehlschlägt.
Führe MTA-STS zuerst im Modus testing zusammen mit TLS-Reporting ein: TLS-RPT (RFC 8460, ein TXT-Eintrag unter _smtp._tls.example.com wie v=TLSRPTv1; rua=mailto:tls@example.com) verschickt täglich JSON-Berichte über Fehlschläge. Wechselst du MX-Hosts, musst du vorher die Richtlinie und ihre id aktualisieren. Anders als DANE braucht MTA-STS kein DNSSEC, vertraut aber dem ersten Abruf der Richtlinie.