MTA-STS 发现从_mta-sts开始，后跟策略域。对于发送至user@example.com邮件，普通发现所有者为_mta-sts.example.com 。 TXT值通告支持和修订标识符；实际策略是通过 HTTPS 单独获取的。
精确遵循收件人域
参考： RFC 8461 §3.1, RFC 8461 §3.4.
发送至user@mail.example.com邮件使用mail.example.com作为其策略域，而不是继承父example.com策略。 RFC 8461还为管理配置的智能主机提供了特殊处理：智能主机域成为策略域。在解释不存在的记录之前，记录您正在测试的路由情况。
这 TXT记录 必须以v=STSv1开头，并包含 1-32 个 ASCII 字母或数字的 ID。该标识符唯一地标识策略的实例。它没有隐含的顺序：20261107B 是一个方便的操作标签，而不是时间协议或仅接受更大数字的指令。
计算记录而不是屏幕行数
参考： RFC 8461 §3.1, RFC 8461 §8.2.
如果返回多个TXT记录，发现会丢弃不以v=STSv1; 。必须保留一条适用的、语法上有效的记录。两个独立的MTA-STS记录不是安全的翻转机制。一个TXT资源记录中的多个字符串会串联在一起，且不添加空格。
CNAME 允许发现并且可以沿着一条链到达TXT记录。在证据中保留所有者和别名链。发现委派不会消除在接收域的策略主机名下进行 HTTPS 策略检索的要求。
重现发现失败
在隔离的DNS夹具中，返回一条包含v=STSv1; id=A1和一条不相关的验证TXT记录。预期选择保留一名MTA-STS候选人。添加第二个独立的v=STSv1; id=A2记录，结果是通过该答案没有发现可用的策略。然后将原始记录分割成两个字符串， v=STSv1;和一个空格后跟id=A1,并验证串联恢复一个有效值。
查询绝对所有者 _mta-sts.example.test. 针对每个实验室权限和实验室递归解析器使用TXT类型，保存状态、记录边界和 TTL。此过程是指定的，而不是执行的公共DNS测试。为这次审查重新运行提供的本地固定装置，并仅练习候选人计数逻辑；它不是DNS解析器或完整的发现解析器。
在发布之前更新 HTTPS
参考： RFC 8461 §3.3, RFC 8461 §5.1, RFC 8461 §8.1.
先发布并验证新的policy body，然后更改id。否则，发送者可以在获取旧主体的同时观察新 ID。在过渡期间保持旧路线可用。丢失或不可用的发现不会删除有效的、未过期的缓存策略，并且 ID 更改也不能保证每个发送者都能立即获取。将DNS和发件人缓存视为更改的单独部分。
保留的历史证据和剩余范围
以下是保留的 2026 年 11 月 7 日实验室记录，经过检查但未作为本次审查的网络实验重新运行。新的离线夹具执行被单独记录。
捕获的逻辑时间线从 A1 开始，并在纪元 1000000 处获取：强制执行，仅旧MX ，max_age 86400，发件人到期 1086400。A1 被建模为最后一次服务于 1000300，因此在该边界获取的另一个发件人可以将其保留到 1086700。B2 是在 1000300 处发布的，具有旧的和新的MX模式和 max_age 3600；其建模的最后服务时间 1000600 产生到期时间 1004200。1000600 处的 C3 只允许新的，最后服务时间为 1000900，到期时间为 1004500。这些是明确的合成时间，而不是观察到的互联网事件。保留的 11 月 7 日跟踪记录显示，实验室将其DNS响应更改为 B2 并通过 HTTPS 获取双 MX 正文。断言保留了早期的 A1 缓存不变；旧的仍然被允许，新的仍然被禁止，而新的 B2 身体则允许新的。因此，标识符声明和成功的新获取本身不会改变另一个缓存的快照。