Механизм состоит из двух частей: TXT-записи DNS в _mta-sts.example.com (v=STSv1; id=20261020), которая сообщает о наличии политики и её версии, и файла политики по адресу https://mta-sts.example.com/.well-known/mta-sts.txt с полями version: STSv1, mode: enforce, testing или none, одним или несколькими шаблонами mx: и max_age в секундах. Отправляющие серверы кешируют политику и отказываются доставлять почту на MX-хосты, сертификат которых не проходит проверку.
Сначала разверните политику в режиме testing вместе с отчётами TLS: TLS-RPT (RFC 8460, TXT-запись в _smtp._tls.example.com, например v=TLSRPTv1; rua=mailto:tls@example.com) ежедневно присылает JSON-отчёты о сбоях. Чтобы сменить MX-хосты, нужно до переключения обновить политику и её id. В отличие от DANE, MTA-STS не требует DNSSEC, но доверяет политике, полученной при первом запросе.