Un registro TLSA se publica en _port._protocol.host, por ejemplo _25._tcp.mail.example.com, con tres campos: uso del certificado (0 PKIX-TA, 1 PKIX-EE, 2 DANE-TA, 3 DANE-EE), selector (0 certificado completo, 1 SubjectPublicKeyInfo) y tipo de coincidencia (0 exacta, 1 SHA-256, 2 SHA-512), seguidos de los datos. 3 1 1 (fijar la propia clave pública del servidor mediante SHA-256) es la opción más común porque sobrevive a las renovaciones del certificado con la misma clave.
Los navegadores nunca adoptaron DANE, pero SMTP sí: el RFC 7672 lo usa para que el STARTTLS oportunista entre servidores de correo sea autenticado y resistente a la degradación, y Postfix, Exim y grandes proveedores como Microsoft Exchange Online admiten la validación DANE saliente. MTA-STS es la alternativa basada en la WebPKI.
Al rotar la clave (rollover), hay que publicar el registro de la nueva clave antes de hacer el cambio; el generador de registros TLSA calcula los registros a partir de un certificado o una clave.