Запись TLSA размещается по имени _port._protocol.host, например _25._tcp.mail.example.com, и содержит три поля: использование сертификата (0 PKIX-TA, 1 PKIX-EE, 2 DANE-TA, 3 DANE-EE), селектор (0 — весь сертификат, 1 — SubjectPublicKeyInfo) и тип сопоставления (0 — точное совпадение, 1 — SHA-256, 2 — SHA-512), за которыми следуют данные. Чаще всего выбирают 3 1 1 (закрепление собственного открытого ключа сервера по SHA-256), потому что такая запись переживает продление сертификата с тем же ключом.
Браузеры так и не приняли DANE, а SMTP принял: RFC 7672 с его помощью добавляет к оппортунистическому STARTTLS между почтовыми серверами аутентификацию и защиту от атак понижения, а Postfix, Exim и крупные провайдеры, например Microsoft Exchange Online, поддерживают проверку DANE для исходящей почты. MTA-STS — альтернатива на основе WebPKI.
Чтобы сменить ключ, запись для следующего ключа нужно опубликовать до переключения; генератор записей TLSA вычисляет записи по сертификату или ключу.