已经部署 DNSSEC 了，为什么还需要 MTA-STS？

DNSSEC 保证 DNS 响应不被篡改，但 SMTP 的 TLS 投递是否发生、对端证书是否可信，并不由 DNSSEC 直接保证；而且现实中大量域并未部署 DNSSEC。

MTA-STS 在应用层明确“必须 TLS、只允许这些 MX”，并通过 HTTPS 托管策略，独立于对端 DNSSEC 部署情况即可生效，是对 DANE/DNSSEC 路线的务实补充（尤其跨域互操作时）。