構成要素は 2 つです。1 つは、ポリシーの存在とそのバージョンを示す _mta-sts.example.com の DNS TXT レコード（v=STSv1; id=20261020）です。もう 1 つは https://mta-sts.example.com/.well-known/mta-sts.txt に置くポリシーファイルで、version: STSv1、mode: enforce・testing・none のいずれかのモード、1 つ以上の mx: パターン、秒単位の max_age を記述します。送信側のサーバーはポリシーをキャッシュし、証明書の検証に失敗した MX ホストへの配信を拒否します。
まずは TLS レポートを有効にして、testing モードで導入してください。TLS-RPT（RFC 8460。_smtp._tls.example.com に置く、v=TLSRPTv1; rua=mailto:tls@example.com のような TXT レコード）は、失敗に関する JSON レポートを毎日送信します。MX ホストを変更するときは、切り替える前にポリシーとその id を更新する必要があります。DANE と異なり、MTA-STS は DNSSEC を必要としませんが、最初に取得したポリシーを信頼する方式です。