DANE en TLSA-records
Een manier om het certificaat van uw mailserver in DNS vast te pinnen, ondertekend met DNSSEC, zodat verzendende servers het kunnen verifiëren zonder een certificaatautoriteit te vertrouwen.
DANE publiceert een hash van het certificaat of de publieke sleutel van uw mailserver in een TLSA-record op _25._tcp.<mail host>. Een verzendende server die DANE ondersteunt zoekt het record op, verbindt over TLS en controleert of het getoonde certificaat overeenkomt. Zo niet, dan wordt de aflevering geweigerd in plaats van gedowngraded.
Het record heeft drie getallen en een hash: usage (3 betekent "vertrouw precies dit certificaat", 2 "vertrouw deze CA"), selector (1 = alleen de publieke sleutel, 0 = het hele certificaat) en matching type (1 = SHA-256). 3 1 1 met de SHA-256 van de publieke sleutel is de gebruikelijke keuze, omdat die certificaatvernieuwingen overleeft waarbij de sleutel gelijk blijft.
DANE betekent alleen iets als het TLSA-record door DNSSEC wordt gevalideerd; niet-ondertekende records worden genegeerd. Onderteken eerst de zone, publiceer dan het record, en controleer na elke certificaatwijziging, want een verouderd record zorgt ervoor dat afzenders die DANE afdwingen uw mail bouncen.