DANE 与 MTA-STS 是什么关系？二者有何区别？

MTA-STS（RFC 8461）负责“强制 TLS 投递”并声明允许的 MX，但不验证对端证书真伪（依赖 Web PKI）；DANE/TLSA（RFC 7671）则通过 DNSSEC 验证证书，既强制 TLS 又认证证书。

两者可叠加：MTA-STS 在不能做 DANE 时提供降级防护，DANE 在已部署 DNSSEC 时提供更强的证书绑定。二者失败报告都可经 TLS-RPT（RFC 8460）汇总。