DANE DNS-Based Authentication of Named Entities
Publier les empreintes de certificats TLS dans le DNS via des enregistrements TLSA — au lieu de faire confiance au système public d'autorités de certification.
RFC 6698. Suppose DNSSEC (sans DNS signé, un attaquant peut falsifier les enregistrements TLSA). Les navigateurs web ne l'ont pas adopté — Mozilla a abandonné ses plans en 2015, l'adoption de DNSSEC étant trop faible. Mais DANE a percé dans le monde SMTP : MTA-STS et DANE pour SMTP protègent le transport du courrier contre les attaques par rétrogradation. Google a adopté DANE pour la réception SMTP en 2024. La directive européenne NIS2 pousse dans le même sens.