Um registro TLSA fica em _port._protocol.host, por exemplo _25._tcp.mail.example.com, e tem três campos: uso do certificado (0 PKIX-TA, 1 PKIX-EE, 2 DANE-TA, 3 DANE-EE), seletor (0 certificado completo, 1 SubjectPublicKeyInfo) e tipo de correspondência (0 exato, 1 SHA-256, 2 SHA-512), seguidos dos dados. 3 1 1 (fixar a própria chave pública do servidor pelo SHA-256) é a escolha mais comum, porque sobrevive a renovações do certificado que mantêm a mesma chave.
Os navegadores nunca adotaram o DANE, mas o SMTP sim: a RFC 7672 o usa para tornar autenticado e resistente a downgrade o STARTTLS oportunista entre servidores de e-mail, e o Postfix, o Exim e grandes provedores, como o Microsoft Exchange Online, oferecem suporte à validação DANE de saída. O MTA-STS é a alternativa baseada na WebPKI.
As trocas de chave (rollovers) exigem que um registro para a próxima chave esteja publicado antes da troca; o gerador de registros TLSA calcula registros a partir de um certificado ou de uma chave.