DANE（基于DNS的命名实体认证）

DANE是一种安全协议（RFC 6698），使用[[dnssec|DNSSEC]]签名的TLSA DNS记录将加密证书与域名绑定，为传统证书颁发机构（CA）信任模型提供替代或补充方案。通过DANE，域名管理员发布TLSA记录，指定其域名授权使用哪个[[ssl-tls|TLS证书]]或CA。支持DANE的邮件服务器和客户端可以验证服务器证书与TLSA记录是否匹配，大幅降低由CA证书错误颁发引发的攻击风险。由于没有DNSSEC签名的TLSA记录可以被伪造，DANE要求从端到端部署DNSSEC。