DANE et enregistrements TLSA
Un moyen d'épingler le certificat de votre serveur de messagerie dans le DNS, signé par DNSSEC, pour que les serveurs expéditeurs puissent le vérifier sans faire confiance à aucune autorité de certification.
DANE publie une empreinte du certificat ou de la clé publique de votre serveur de messagerie dans un enregistrement TLSA à _25._tcp.<mail host>. Un serveur expéditeur qui prend en charge DANE consulte l'enregistrement, se connecte en TLS et vérifie que le certificat présenté correspond. Si ce n'est pas le cas, la livraison est refusée plutôt que dégradée.
L'enregistrement comporte trois nombres et une empreinte : l'usage (3 signifie « faire confiance à ce certificat précis », 2 « faire confiance à cette AC »), le sélecteur (1 = clé publique seule, 0 = certificat entier) et le type de correspondance (1 = SHA-256). 3 1 1 avec le SHA-256 de la clé publique est le choix habituel, parce qu'il survit aux renouvellements de certificat qui conservent la même clé.
DANE n'a de sens que si l'enregistrement TLSA est validé par DNSSEC ; les enregistrements non signés sont ignorés. Signez d'abord la zone, publiez l'enregistrement, et vérifiez après chaque changement de certificat, car un enregistrement périmé fait rebondir votre courrier chez les expéditeurs qui appliquent DANE.