Deux éléments : un enregistrement TXT DNS sur _mta-sts.example.com (v=STSv1; id=20261020) qui signale une politique et sa version, et un fichier de politique à l’adresse https://mta-sts.example.com/.well-known/mta-sts.txt contenant version: STSv1, mode: enforce, testing ou none, un ou plusieurs motifs mx: et max_age en secondes. Les serveurs d’envoi mettent la politique en cache et refusent de livrer aux hôtes MX dont la validation du certificat échoue.
Déployez d’abord en mode testing avec les rapports TLS : TLS-RPT (RFC 8460, un enregistrement TXT sur _smtp._tls.example.com tel que v=TLSRPTv1; rua=mailto:tls@example.com) envoie chaque jour des rapports JSON sur les échecs. Changer d’hôtes MX impose de mettre à jour la politique et son id avant la bascule. Contrairement à DANE, MTA-STS n’a pas besoin de DNSSEC, mais fait confiance à la première récupération de la politique.