DANE
TLS証明書のフィンガープリントをTLSAレコードとしてDNSに公開する仕組み。公的CAを信用する代わりになる。
RFC 6698。DNSSECが前提で、署名のないDNSでは攻撃者がTLSAレコードを偽造できる。Webブラウザは採用しておらず、DNSSECの普及率が低いことから、Mozillaも2015年に計画を取り下げた。だがSMTPの世界では定着した。MTA-STS とSMTP向けDANEが、メール転送をダウングレード攻撃から守る。Googleは2024年にSMTP受信でDANEを採用した。EUのNIS2指令も後押ししている。