DANE
Pubblica le impronte dei certificati TLS nel DNS tramite record TLSA, invece di affidarsi al sistema delle CA pubbliche.
RFC 6698. Presuppone DNSSEC: senza DNS firmato un attaccante può falsificare i record TLSA. I browser non l'hanno adottato (Mozilla ha abbandonato i piani nel 2015 per la scarsa diffusione di DNSSEC), ma nel mondo SMTP si è affermato: MTA-STS e DANE per SMTP proteggono il trasporto della posta dagli attacchi di downgrade. Google ha adottato DANE per la ricezione SMTP nel 2024, e la direttiva europea NIS2 ne spinge la diffusione.