Tiene dos partes: un registro TXT de DNS en _mta-sts.example.com (v=STSv1; id=20261020) que señala que existe una política y su versión, y un archivo de política en https://mta-sts.example.com/.well-known/mta-sts.txt con version: STSv1, mode: enforce, testing o none, uno o varios patrones mx: y max_age en segundos. Los servidores de envío guardan la política en caché y se niegan a entregar a hosts MX cuya validación del certificado falla.
Despliega primero en modo testing con los informes de TLS: TLS-RPT (RFC 8460, un registro TXT en _smtp._tls.example.com como v=TLSRPTv1; rua=mailto:tls@example.com) envía informes JSON diarios de los fallos. Cambiar los hosts MX exige actualizar la política y su id antes del cambio. A diferencia de DANE, MTA-STS no necesita DNSSEC, pero confía en la primera obtención de la política.