TLSA レコードは _port._protocol.host（例：_25._tcp.mail.example.com）に置かれ、3 つのフィールドとそれに続くデータから成ります。フィールドは、証明書の用途（0 PKIX-TA、1 PKIX-EE、2 DANE-TA、3 DANE-EE）、セレクター（0 証明書全体、1 SubjectPublicKeyInfo）、マッチングタイプ（0 完全一致、1 SHA-256、2 SHA-512）です。最もよく使われるのは 3 1 1（サーバー自身の公開鍵を SHA-256 でピン留め）で、同じ鍵のまま証明書を更新してもそのまま使えるためです。
ブラウザーは DANE を採用しませんでしたが、SMTP は採用しました。RFC 7672 は DANE を使って、メールサーバー間の日和見的な STARTTLS を認証付きにし、ダウングレードにも耐えられるようにしています。Postfix、Exim、そして Microsoft Exchange Online などの大手プロバイダーは、送信時の DANE 検証に対応しています。MTA-STS は、WebPKI に基づく代替手段です。
鍵のロールオーバーでは、切り替えの前に次の鍵のレコードを公開しておく必要があります。TLSA レコード生成ツールは、証明書または鍵からレコードを計算します。