DANE 与 TLSA 记录

DANE 通过 DNSSEC 把证书或公钥指纹发布在 DNS 的 TLSA 记录中，让客户端可以不依赖 CA 体系校验服务端证书；前提是域名启用 DNSSEC 且解析链可信。

记录类型	TLSA（RFC 6698），发布在 _端口._协议.域名下，如 _443._tcp.example.com
依赖	DNSSEC 验证链完整，否则记录可被伪造
模式	PKIX-TA/PKIX-EE（辅助 CA 校验）与 DANE-TA/DANE-EE（直接信任发布方）
工具	dig +dnssec 查询、delv 验证 DNSSEC

查询与验证

dig +short TLSA _443._tcp.example.com
dig +dnssec +short example.com A
delv _443._tcp.example.com TLSA

DANE 的实际采用集中在邮件（SMTP）等场景；部署前先确认客户端生态对 DNSSEC 的支持度。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌