DANE DNS-Based Authentication of Named Entities
Publica as impressões digitais do certificado TLS no DNS via registros TLSA — em vez de confiar no sistema público de CAs.
RFC 6698. Pressupõe DNSSEC (sem DNS assinado, um atacante pode forjar registros TLSA). Os navegadores não adotaram: a Mozilla abandonou os planos em 2015 porque a adoção do DNSSEC era baixa. Mas o protocolo emplacou no mundo do SMTP: MTA-STS e DANE para SMTP protegem o transporte de e-mail contra ataques de downgrade. O Google adotou DANE para recebimento de SMTP em 2024. A diretiva NIS2 da UE está empurrando a adoção.