pkix-ta
PKIX-TA（0）要求证书链通向公共 CA，且该 CA 与 TLSA 记录匹配；RFC 7672 不建议在 SMTP 中使用它。
证书用途 0 和 1 在普通的 Web PKI 验证之上再加一层 DNS 约束。对于邮件服务器之间的 SMTP，RFC 7672 §3.1.3 规定 TLSA 记录不应（SHOULD NOT）使用它们：能够伪造 DNS 的攻击者反正也能替换这些记录，而且邮件服务器之间没有共同的受信任 CA 列表。
DNSSEC 与 DANE
DANE TLSA 字段：用途、选择器、匹配类型
DANE TLSA 记录的三个数字字段——证书用途（certificate usage）、选择器（selector）和匹配类型（matching type）——及其缩写和含义，来自 IANA DANE 注册表。
显示 13 项中的 13 项
DANE TLSA 证书用途 · 5 个条目
TLSA 记录的第一个字段。
| 值 | 缩写 | 说明 | 参考文献 |
|---|---|---|---|
0说明 | PKIX-TA | PKIX-TA（0）是 TLSA 证书用途“CA constraint”。 | RFC 6698 |
1 | PKIX-EE | PKIX-EE（1）是 TLSA 证书用途“Service certificate constraint”。 | RFC 6698 |
2说明 | DANE-TA | DANE-TA（2）是 TLSA 证书用途“Trust anchor assertion”。 | RFC 6698 |
3说明 | DANE-EE | DANE-EE（3）是 TLSA 证书用途“Domain-issued certificate”。 | RFC 6698 |
255 | PrivCert | PrivCert（255）是 TLSA 证书用途“Reserved for Private Use”。 | RFC 6698 |
未分配和保留的范围 · 1 个条目
| 范围 | 状态 | 说明 |
|---|---|---|
| 4–254 | unassigned | Unassigned |
来源：DNS-Based Authentication of Named Entities (DANE) Parameters（IANA），获取于 2026-10-20。数据许可证：CC0-1.0。 TLSA Certificate Usages
重要条目说明
dane-ta
DANE-TA（2）在 DNS 中固定一个信任锚——通常是签发证书的 CA。
使用证书用途 2 时，服务器的证书链必须通向 TLSA 记录中的证书或密钥，后者不必属于公共 CA。如果记录匹配的是密钥而不是完整的证书，RFC 7672 §3.1.2 要求服务器在其证书链中发送该信任锚。
dane-ee
DANE-EE（3）在 DNS 中固定服务器自身的证书或密钥；不检查证书中的名称和过期时间。
使用证书用途 3 时，仅凭 TLSA 记录就能把密钥绑定到名称：RFC 7672 §3.1.1 规定，即使证书中没有任何名称匹配，服务器也算通过了身份验证，而且证书的过期日期必须（MUST）忽略。常见的记录“3 1 1”（DANE-EE、SPKI、SHA-256）只要密钥不变，在证书续期后依然有效。
DANE TLSA 选择器 · 4 个条目
TLSA 记录的第二个字段。
| 值 | 缩写 | 说明 | 参考文献 |
|---|---|---|---|
0 | Cert | Cert（0）是 TLSA 选择器“Full certificate”。 | RFC 6698 |
1 | SPKI | SPKI（1）是 TLSA 选择器“SubjectPublicKeyInfo”。 | RFC 6698 |
2 | C509 | C509（2）是 TLSA 选择器“C509Certificate”。 | RFC-ietf-cose-cbor-encoded-cert-21 |
255 | PrivSel | PrivSel（255）是 TLSA 选择器“Reserved for Private Use”。 | RFC 6698 |
未分配和保留的范围 · 1 个条目
| 范围 | 状态 | 说明 |
|---|---|---|
| 3–254 | unassigned | Unassigned |
来源：DNS-Based Authentication of Named Entities (DANE) Parameters（IANA），获取于 2026-10-20。数据许可证：CC0-1.0。 TLSA Selectors
DANE TLSA 匹配类型 · 4 个条目
TLSA 记录的第三个字段。
| 值 | 缩写 | 说明 | 参考文献 |
|---|---|---|---|
0 | Full | Full（0）是 TLSA 匹配类型“No hash used”。 | RFC 6698 |
1 | SHA2-256 | SHA2-256（1）是 TLSA 匹配类型“256 bit hash by SHA2”。 | RFC 6234 |
2 | SHA2-512 | SHA2-512（2）是 TLSA 匹配类型“512 bit hash by SHA2”。 | RFC 6234 |
255 | PrivMatch | PrivMatch（255）是 TLSA 匹配类型“Reserved for Private Use”。 | RFC 6698 |
未分配和保留的范围 · 1 个条目
| 范围 | 状态 | 说明 |
|---|---|---|
| 3–254 | unassigned | Unassigned |
来源：DNS-Based Authentication of Named Entities (DANE) Parameters（IANA），获取于 2026-10-20。数据许可证：CC0-1.0。 TLSA Matching Types