São duas partes: um registro TXT do DNS em _mta-sts.example.com (v=STSv1; id=20261020), que sinaliza a existência de uma política e a versão dela, e um arquivo de política em https://mta-sts.example.com/.well-known/mta-sts.txt com version: STSv1, mode: enforce, testing ou none, um ou mais padrões mx: e max_age em segundos. Os servidores de envio armazenam a política em cache e se recusam a entregar a hosts MX cujo certificado não passa na validação.
Implante primeiro no modo testing, com relatórios de TLS: o TLS-RPT (RFC 8460, um registro TXT em _smtp._tls.example.com, como v=TLSRPTv1; rua=mailto:tls@example.com) envia relatórios diários em JSON com as falhas. Trocar os hosts MX exige atualizar a política e o id dela antes da troca. Ao contrário do DANE, o MTA-STS não precisa de DNSSEC, mas confia na política obtida na primeira consulta.