TLSA 记录位于 _port._protocol.host，例如 _25._tcp.mail.example.com，包含三个字段：证书用途（0 PKIX-TA、1 PKIX-EE、2 DANE-TA、3 DANE-EE）、选择器（0 完整证书、1 SubjectPublicKeyInfo）和匹配类型（0 精确匹配、1 SHA-256、2 SHA-512），后面是数据。3 1 1（按 SHA-256 固定服务器自身的公钥）是最常见的选择，因为只要密钥不变，它在证书续期后仍然有效。
浏览器从未采用 DANE，但 SMTP 采用了：RFC 7672 用它让邮件服务器之间的机会性 STARTTLS 经过身份验证并能抵御降级。Postfix 和 Exim 都支持出站 DANE 验证，Microsoft Exchange Online 等大型服务商也支持。MTA-STS 是基于 WebPKI 的替代方案。
轮换密钥时，需要在切换之前发布下一个密钥的记录；TLSA 记录生成器可以根据证书或密钥计算出记录。