Un enregistrement TLSA se trouve à _port._protocol.host, par exemple _25._tcp.mail.example.com, et comporte trois champs : l’usage du certificat (0 PKIX-TA, 1 PKIX-EE, 2 DANE-TA, 3 DANE-EE), le sélecteur (0 certificat complet, 1 SubjectPublicKeyInfo) et le type de correspondance (0 exact, 1 SHA-256, 2 SHA-512), suivis des données. 3 1 1 (épingler la clé publique du serveur lui-même par SHA-256) est le choix le plus courant, car il survit aux renouvellements de certificat effectués avec la même clé.
Les navigateurs n’ont jamais adopté DANE, contrairement à SMTP : la RFC 7672 s’en sert pour authentifier le STARTTLS opportuniste entre serveurs de messagerie et le rendre résistant au repli, et Postfix, Exim ainsi que de grands fournisseurs comme Microsoft Exchange Online prennent en charge la validation DANE sortante. MTA-STS est l’alternative fondée sur la WebPKI.
Le remplacement d’une clé (rollover) exige qu’un enregistrement pour la clé suivante soit publié avant la bascule ; le générateur d’enregistrements TLSA calcule les enregistrements à partir d’un certificat ou d’une clé.