Qu’est-ce que Brand Indicators for Message Identification (BIMI) ?

Brand Indicators for Message Identification (BIMI) est la norme email qui affiche le logo vérifié de votre marque à côté des messages que vous envoyez. Passez DMARC en application, ajoutez un certificat de marque et un logo SVG conforme, publiez l’enregistrement BIMI, et votre logo s’affiche pour les destinataires chez les fournisseurs participants comme Gmail.

Pour être éligible, votre domaine doit avoir une politique DMARC en application. Les règles actuelles des fournisseurs la définissent comme une politique DMARC p=quarantine ou p=reject appliquée à l’ensemble de vos emails et, si vous publiez une politique de sous-domaine, la valeur sp= doit elle aussi être en application. Une politique de simple surveillance p=none n’est pas acceptée.

BIMI accepte deux types de preuves pour votre logo. Un Verified Mark Certificate (VMC) atteste d’une marque déposée. Un Common Mark Certificate (CMC) couvre un logo que vous affichez publiquement sur un domaine qui vous appartient depuis au moins 12 mois, sans marque déposée. Gmail accepte un VMC ou un CMC, mais n’affiche sa coche de vérification que pour un VMC.

Associez BIMI à une politique DMARC en application, et votre logo pourra apparaître dans les boîtes de réception compatibles comme Gmail et Yahoo. L’application DMARC réduit l’usurpation du domaine exact, mais elle n’arrête pas toutes les formes d’usurpation d’identité, car les domaines sosies et les manipulations du nom d’affichage subsistent.

BIMI affiche votre logo à côté de votre adresse email chez les fournisseurs participants. BIMI ne prévient pas le business email compromise (BEC), c’est le rôle de DMARC, et si quelqu’un usurpe votre domaine alors que BIMI est en place, votre logo n’apparaîtra pas. Selon votre politique DMARC, le message pourrait même ne pas être délivré du tout.

Comme vos enregistrements SPF, DKIM et DMARC, votre enregistrement BIMI se trouve dans votre DNS sous forme de fichier texte (TXT). Lorsqu’un message que vous envoyez atteint la boîte de réception du destinataire, le serveur de réception consulte l’enregistrement pour confirmer que l’email est authentifié par DMARC. Une fois que le message passe DMARC en p=quarantine ou p=reject, l’enregistrement TXT indique au serveur de réception où se trouve le logo et quel certificat le garantit, et le fournisseur peut alors afficher le logo.

Si votre politique DMARC est définie sur p=none, BIMI ne fonctionnera pas. Les fournisseurs n’évaluent un logo qu’une fois la politique DMARC de votre domaine en application.

Le prérequis ici est une politique DMARC en application. Si vous n’y êtes pas encore, consultez d’abord comment atteindre l’application DMARC, puis revenez à BIMI.

Les critères de préparation couvrent six domaines. Validez-les tous les six avant de demander un certificat ou de publier un enregistrement.

Suivez les phases dans l’ordre. Chaque phase conditionne la suivante : ne commencez donc pas une phase tant que la précédente n’est pas stable.

Phase 1. Atteindre l’application DMARC. Vérifiez votre politique DMARC actuelle, analysez les rapports agrégés pour repérer les échecs d’authentification, authentifiez chaque source d’envoi légitime (y compris les expéditeurs tiers comme les ESP et les CRM), passez en p=quarantine, puis en p=reject une fois votre couverture d’authentification stable. BIMI ne peut pas avancer tant que votre politique n’est pas en application de manière durable. C’est généralement l’étape la plus longue, souvent autour de 6 à 8 semaines, selon le nombre d’expéditeurs à mettre en conformité.

Phase 2. Préparer et valider le logo. Convertissez votre logo au format SVG P/S, validez-le par rapport au profil BIMI décrit à la section 5, et hébergez-le en HTTPS à une URL publique stable. Gardez un logo simple, car il s’affiche sous forme de petit avatar et les détails fins ou le texte trop fin deviennent illisibles. Si votre marque déposée inclut le nom de l’entreprise sous forme de texte séparé, il vous faut une version qui fonctionne sans, car le logo d’un VMC doit correspondre à la marque déposée. Un CMC ne nécessite pas de marque déposée, ce qui laisse plus de flexibilité dans le choix du logo.

Phase 3. Demander le certificat. Choisissez le type de preuve. Un VMC nécessite une marque déposée dans une juridiction reconnue, un CMC nécessite 12 mois d’utilisation publique du logo, et un Government Mark Certificate est destiné aux organismes publics. Menez à bien la vérification d’identité et de contrôle du domaine exigée par l’autorité de certification. Vous pouvez soumettre la demande via le parcours Red Sift OnDMARC. L’émission est généralement rapide une fois que vous êtes éligible, environ une à deux semaines, mais l’enregistrement d’une toute nouvelle marque pour un VMC peut ajouter plusieurs mois.

Phase 4. Publier l’enregistrement BIMI. Générez l’enregistrement TXT avec l’URL de votre logo et celle de votre certificat, validez la syntaxe, publiez-le dans votre zone DNS et laissez le temps à la propagation DNS, généralement un ou deux jours. Ensuite, vérifiez votre BIMI, envoyez des messages de test vers Gmail, Yahoo et d’autres fournisseurs compatibles, et confirmez que le logo s’affiche. Seul un VMC permet d’obtenir la coche de vérification Gmail.

Phase 5. Surveiller et maintenir. Maintenez DMARC en application, configurez des alertes en cas de rétrogradation de la politique, suivez l’expiration du certificat et renouvelez-le avant qu’il n’expire. La section 9 couvre en détail la maintenance et les changements d’identité visuelle.

Publiez l’enregistrement sous forme d’entrée DNS TXT à cet emplacement.

default._bimi.example.com    IN TXT

La valeur utilise trois balises.

v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/certificate.pem

• v= est la version et vaut toujours BIMI1.
• l= est l’URL HTTPS de votre fichier logo SVG P/S.
• a= est l’URL HTTPS de votre certificat PEM, un VMC ou un CMC.

La balise a= est facultative dans la spécification BIMI et est réservée à un VMC ou un CMC. Lorsque a= est vide ou absente, l’enregistrement est auto-déclaré, c’est-à-dire un logo sans certificat. Les enregistrements auto-déclarés bénéficient d’une prise en charge limitée et inégale selon les fournisseurs, et ne sont pas affichés par Gmail.

Pour les fournisseurs qui exigent un certificat, le logo est lu via le certificat indiqué dans a= : le fichier situé à l’URL l= et le logo lié au certificat doivent donc représenter la même marque.

Votre fichier SVG doit respecter le profil SVG P/S, un profil de SVG Tiny 1.2. L’élément racine doit comporter baseProfile="tiny-ps" et version="1.2", sans attributs x= ou y= à la racine, un élément <title> contenant le nom de l’entreprise est obligatoire, le visuel doit être carré avec un arrière-plan uni et non transparent, et le fichier ne doit pas dépasser 32 Ko, sans scripts, animations ni références externes.

Hébergez le fichier en HTTPS à une URL stable, servez-le avec le type MIME image/svg+xml et veillez à ce qu’il reste accessible publiquement, sans authentification ni blocage lié au hotlinking, à la géolocalisation ou au fichier robots lors des requêtes des fournisseurs.

Après la publication, vérifiez votre BIMI afin de valider l’enregistrement et le logo.

Si votre logo ne s’affiche pas, suivez ces étapes de dépannage.

1. Politique DMARC en application. Vérifiez que votre politique publiée est p=quarantine ou p=reject pour tous les emails, y compris toute valeur sp=. Action suivante : consultez votre enregistrement DMARC actuel.
2. Alignement sur les messages réels. Vérifiez que les messages réellement envoyés passent DMARC avec un SPF ou un DKIM aligné, et pas seulement qu’un enregistrement existe. Action suivante : consultez les rapports agrégés ou envoyez un test à une adresse de contrôle.
3. Enregistrement BIMI et sélecteur. Vérifiez que l’enregistrement TXT existe à default._bimi pour le domaine d’envoi, avec des valeurs v=, l= et a= valides et le sélecteur que vous utilisez réellement. Action suivante : interrogez l’enregistrement.
4. Validité du SVG. Vérifiez que le fichier respecte le profil SVG P/S décrit à la section 5. Action suivante : validez le SVG.
5. Hébergement, TLS, MIME, redirections et hotlinking. Vérifiez que le logo et le certificat se chargent en HTTPS avec le type MIME image/svg+xml, sans chaîne de redirections et sans blocage lié à l’authentification, au hotlinking, à la géolocalisation ou au fichier robots. Action suivante : récupérez les deux URL depuis l’extérieur de votre réseau.
6. Validité du certificat ou de la preuve. Vérifiez que le VMC ou le CMC est à jour, non expiré, émis par une autorité de certification reconnue et lié au même logo. Action suivante : contrôlez les dates de validité et la marque du certificat.
7. Propagation et cache. Laissez le temps à la propagation DNS et au fournisseur d’actualiser son cache après toute modification. Action suivante : refaites le test après la propagation.
8. Éligibilité auprès du fournisseur. Même avec une configuration technique irréprochable, chaque fournisseur applique ses propres règles de réputation, d’engagement et d’appréciation, et certains fournisseurs comme Microsoft Outlook n’affichent pas du tout BIMI pour les emails entrants. Action suivante : vérifiez à la section 8 que le fournisseur ciblé prend en charge BIMI dans votre cas.

Pour connaître l’ensemble des exigences, juridictions et rôles, comparez VMC et CMC.

La prise en charge varie selon les fournisseurs, et certains ajoutent leurs propres conditions en plus d’une configuration BIMI valide. Consultez la ligne correspondant aux fournisseurs qu’utilisent vos destinataires.

Où votre logo s’affiche sur ordinateur et sur mobile. Une même configuration valide peut s’afficher différemment selon les appareils du lecteur, ce qui compte lorsque vous planifiez l’impact de votre marque sur les différentes plateformes. Gmail affiche le logo dans son client web et dans ses applications Android et iOS, avec la coche de vérification (VMC uniquement) dans la vue du message. Yahoo et AOL l’affichent dans la liste des messages et la vue de lecture de leurs applications mobiles, ainsi que dans la vue de lecture du webmail sur ordinateur. Apple Mail l’affiche dans la vue du message sur macOS 13, iOS 16 et iPadOS 16 et versions ultérieures. Certaines interfaces affichent le logo dans la liste de la boîte de réception, tandis que d’autres ne l’affichent qu’à l’ouverture du message : testez donc sur les appareils que vos destinataires utilisent réellement.

Apple Business Connect est un programme Apple distinct de BIMI, et s’inscrire à Business Connect n’équivaut pas à publier un enregistrement BIMI.

Veillez au bon fonctionnement de votre configuration après la mise en service. Maintenez DMARC en application et configurez des alertes en cas de rétrogradation, car le logo cesse de s’afficher si votre politique repasse en dessous du niveau d’application. Suivez l’expiration du certificat, car un VMC ou un CMC est valable environ un an, jusqu’à 397 jours maximum, et le logo cesse de s’afficher une fois le certificat expiré. Un renouvellement de routine sans changement de logo réutilise vos URL existantes.

Changer de logo n’est pas la même chose que renouveler. Le logo est lié au certificat : un nouveau logo nécessite donc un nouveau certificat. Pour un changement d’identité visuelle, procédez dans cet ordre. Validez le nouveau SVG par rapport au profil BIMI, obtenez le certificat ou la preuve mis à jour pour la nouvelle marque, hébergez les nouveaux fichiers en HTTPS, mettez à jour les URL l= et a= dans votre enregistrement DNS, laissez le temps à la propagation DNS, validez l’enregistrement et envoyez des messages de test. Remplacer un logo lié à un certificat sans nouveau certificat correspondant rompt le lien avec le certificat, et le logo cesse de s’afficher.

La prochaine étape la plus évidente consiste à vérifier votre BIMI : cet outil teste votre domaine et indique ce qu’il manque encore.

Ensuite, la suite dépend de vos besoins.

• Si vous avez besoin d’un fichier logo conforme, créez un logo SVG compatible BIMI.
• Si vous hésitez sur le type de preuve, comparez VMC et CMC.
• Si vous préférez confier la mise en place et la gestion à un expert, faites-vous accompagner dans la mise en place de BIMI.

• BIMI Group — Implementation Guide
• BIMI Group — FAQs for Senders and ESPs
• BIMI Group — Creating a BIMI SVG logo
• BIMI Group — Participating providers
• Google Workspace — Set up BIMI
• Yahoo Sender Hub — BIMI
• Apple — Support BIMI in Apple Mail
• Fastmail — Using BIMI
• DigiCert — Verified Mark Certificates
• DigiCert — BIMI setup guide (VMC and CMC)
• SSL.com — Common Mark Certificate