由两部分组成：一条位于 _mta-sts.example.com 的 DNS TXT 记录（v=STSv1; id=20261020），用于表明存在策略及其版本；以及一个位于 https://mta-sts.example.com/.well-known/mta-sts.txt 的策略文件，其中包含 version: STSv1、mode: enforce、testing 或 none，一个或多个 mx: 模式，以及以秒为单位的 max_age。发送方服务器会缓存策略，并拒绝向证书验证失败的 MX 主机投递邮件。
先在 testing 模式下部署，并启用 TLS 报告：TLS-RPT（RFC 8460，一条位于 _smtp._tls.example.com 的 TXT 记录，例如 v=TLSRPTv1; rua=mailto:tls@example.com）每天发送 JSON 格式的失败报告。更换 MX 主机时，需要在切换之前更新策略及其 id。与 DANE 不同，MTA-STS 不需要 DNSSEC，但会信任首次获取到的策略。