SPF, DKIM i DMARC mówią, kto może wysyłać. Nie mówią nic o tym, czy poczta podróżuje zaszyfrowana. Między dwoma serwerami pocztowymi TLS jest domyślnie oportunistyczne: jeśli STARTTLS zawiedzie albo certyfikat jest niewłaściwy, poczta idzie jawnym tekstem i nikt tego nie zauważa. MTA-STS i DANE zamieniają to w wymóg. To sprawdzenie odczytuje rekordy MX, otwiera z tego serwera połączenie SMTP z maksymalnie trzema z nich, negocjuje STARTTLS i odczytuje certyfikat, pobiera politykę MTA-STS i rekord TLS-RPT oraz odpytuje rekordy TLSA dla DANE. Żadna poczta nie jest wysyłana; po uzgadnianiu połączenie kończy się poleceniem QUIT.
Z tego serwera: zapytania DNS, jedno pobranie polityki MTA-STS oraz jedno lub dwa połączenia SMTP na porcie 25 z każdym z maksymalnie trzech hostów MX, zakończone QUIT przed jakąkolwiek kopertą. Hosty MX w sieciach prywatnych, loopback i link-local nigdy nie są kontaktowane. Zapytanie chroni reCAPTCHA v3; adres IP wywołującego i domena są przechowywane przez godzinę w celu ograniczenia częstotliwości.
Granice, o których warto wiedzieć: sprawdzane są tylko pierwsze trzy hosty MX po jednym adresie; niektórzy dostawcy stosują greylisting albo odrzucają nieznanych nadawców jeszcze przed EHLO, co widać tu jako nieosiągalność, podczas gdy prawdziwa poczta nadal płynie; nie jest sprawdzane, czy TLS 1.0 lub 1.1 byłyby akceptowane; sygnał DNSSEC to flaga AD publicznego resolvera, a nie własna walidacja; a MTA-STS jest oceniane z perspektywy tego serwera na DNS i politykę, podczas gdy serwer wysyłający może mieć w pamięci starszą politykę.