BIMI auf Subdomains: Wie Vererbung funktioniert

Die Veröffentlichung eines BIMI-Records für Ihre Organisationsdomain erweitert die Anzeige von Markenindikatoren automatisch auf jede Subdomain, von der Sie senden — ohne zusätzliche DNS-Records. Das Verständnis des Vererbungsmodells, seiner Grenzen und der DMARC-Ausrichtungsabhängigkeit hilft Ihnen, BIMI korrekt über eine komplexe Sendeinfrastruktur hinweg zu implementieren.

Wie BIMI-Vererbung funktioniert

Die BIMI-Vererbung folgt derselben Lookup-Hierarchie wie DMARC. Wenn ein empfangender Mailserver eine Nachricht von marketing.example.com auswertet, sucht er in dieser Reihenfolge nach einem BIMI-Record:

1. default._bimi.marketing.example.com — subdomain-spezifischer Record
2. default._bimi.example.com — Fallback auf Organisationsdomain

Existiert kein Record auf Subdomain-Ebene, fällt der Empfänger auf den Record der Organisationsdomain zurück. Das bedeutet, ein einzelner BIMI TXT-Record, veröffentlicht unter default._bimi.example.com, deckt automatisch alle Subdomains ab.

Was "Organisationsdomain" bedeutet

Die Organisationsdomain ist die registrierte Domain — der Teil unmittelbar unter einem öffentlichen Suffix. Für mail.example.com und marketing.example.com ist die Organisationsdomain example.com. Die BIMI-Vererbung löst immer aufwärts zu dieser Ebene auf, niemals zu einer Zwischen-Subdomain.

Veröffentlichung eines einzelnen BIMI-Records für alle Subdomains

Wenn alle Ihre sendenden Subdomains dasselbe Logo verwenden, genügt ein DNS-Record.

Schritte:

1. Bestätigen Sie, dass Ihre Organisationsdomain eine gültige DMARC-Policy hat (siehe DMARC-Ausrichtungsanforderungen unten).
2. Bereiten Sie ein quadratisches SVG-Logo vor, das dem SVG Tiny P/S-Profil entspricht.
3. Hosten Sie das SVG unter einer stabilen, öffentlich zugänglichen HTTPS-URL.
4. Veröffentlichen Sie einen einzelnen BIMI TXT-Record bei Ihrer Organisationsdomain:

   default._bimi.example.com  TXT  "v=BIMI1; l=https://brand.example.com/logo.svg; a=https://brand.example.com/cert.pem"
   

1. Überprüfen Sie, dass keine widersprüchlichen BIMI-Records auf Subdomain-Ebene existieren.

Alle Subdomains — mail.example.com, marketing.example.com, transactional.example.com — erben diesen Record nun automatisch.

BIMI pro Subdomain überschreiben

Sie können den vererbten Record überschreiben für jede einzelne Subdomain, indem Sie einen separaten BIMI TXT-Record direkt beim _bimi-Label dieser Subdomain veröffentlichen.

Wann überschreiben:

• Eine Subdomain sendet unter einem anderen Marken- oder Produktlogo.
• Eine Subdomain erfordert ein anderes Verified Mark Certificate (VMC).
• Sie möchten die BIMI-Anzeige für eine bestimmte Subdomain unterdrücken (veröffentlichen Sie einen Null-Record).

Schritte zum Überschreiben:

1. Identifizieren Sie die Subdomain, die ein anderes Logo oder Zertifikat benötigt.
2. Veröffentlichen Sie einen subdomain-spezifischen BIMI-Record:

   default._bimi.marketing.example.com  TXT  "v=BIMI1; l=https://brand.example.com/marketing-logo.svg; a=https://brand.example.com/marketing-cert.pem"
   

1. Der subdomain-spezifische Record hat vollständigen Vorrang vor dem Record der Organisationsdomain für Nachrichten, die von dieser Subdomain gesendet werden.

Um BIMI auf einer Subdomain zu unterdrücken, veröffentlichen Sie einen Record mit leerem l=-Wert:

default._bimi.noreply.example.com  TXT  "v=BIMI1; l=;"

VMC-Abdeckung über Subdomains hinweg

Ein Verified Mark Certificate (VMC) authentifiziert Ihr Logo und wird von großen Mailbox-Anbietern — einschließlich Gmail und Apple Mail — benötigt, um den Markenindikator mit einem verifizierten Häkchen anzuzeigen.

Ein VMC deckt alle Subdomains ab, die dasselbe Logo verwenden

Ein VMC wird für eine spezifische Logodatei (das SVG) ausgestellt, nicht für eine bestimmte Domain oder Subdomain. Sofern dasselbe SVG in all Ihren BIMI-Records referenziert wird, deckt ein einzelnes VMC Ihre Organisationsdomain und jede Subdomain ab, die dieses Logo erbt oder explizit referenziert.

Sie benötigen kein VMC pro Subdomain.

Mehrere Logos erfordern mehrere VMCs

Wenn verschiedene Subdomains unterschiedliche Logos anzeigen — zum Beispiel ein Dachmarkenlogo auf mail.example.com und ein Produktmarkenlogo auf app.example.com — benötigt jedes unterschiedliche Logo sein eigenes VMC.

| Szenario | Erforderliche VMCs | |---|---| | Ein Logo, eine oder viele Subdomains | 1 VMC | | Zwei Logos über zwei Subdomains | 2 VMCs | | Drei Logos über zehn Subdomains | 3 VMCs |

Der entscheidende Faktor ist immer die Anzahl der einzigartigen Logos, nicht die Anzahl der Domains oder Subdomains.

DMARC-Ausrichtungsanforderungen für Subdomains

BIMI wird nicht angezeigt, es sei denn, die gesendete Nachricht besteht die DMARC-Authentifizierung. Für Subdomain-Sender ist die kritische DMARC-Konfiguration das sp=-Tag — die Subdomain-Policy.

Das sp=-Tag

Das sp=-Tag im DMARC-Record Ihrer Organisationsdomain definiert die Policy, die auf Nachrichten von Subdomains angewendet wird. BIMI erfordert eine Policy von quarantine oder reject — eine Policy von none ist unzureichend.

Beispiel-DMARC-Record mit Subdomain-Policy:

_dmarc.example.com  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Regeln zur Policy-Vererbung

| DMARC-Record | Angewandte Subdomain-Policy | |---|---| | p=reject; sp=reject | Subdomains erben reject ✅ | | p=reject; sp=quarantine | Subdomains verwenden quarantine ✅ | | p=reject; sp=none | Subdomains verwenden none — BIMI wird nicht angezeigt ❌ | | p=reject (kein sp=-Tag) | Subdomains erben p=reject ✅ | | p=none (kein sp=-Tag) | Subdomains erben none — BIMI wird nicht angezeigt ❌ |

Wichtig: Wenn sp= weggelassen wird, erben Subdomains den Wert von p=. Stellen Sie sicher, dass p= auf quarantine oder reject gesetzt ist, bevor Sie sich auf Vererbung verlassen.

Subdomain-spezifische DMARC-Records

Sie können auch einen DMARC-Record direkt bei einer Subdomain veröffentlichen, um die vererbte Policy zu überschreiben:

_dmarc.marketing.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Ein DMARC-Record auf Subdomain-Ebene hat vollständigen Vorrang vor dem Record der Organisationsdomain für diese Subdomain — dieselbe Vererbungs- und Überschreibungslogik, die für BIMI-Records gilt.

Häufige BIMI-Fehler bei Subdomains

| Fehler | Ergebnis | Lösung | |---|---|---| | sp=none in DMARC | BIMI auf allen Subdomains unterdrückt | Setzen Sie sp=quarantine oder sp=reject | | Unnötige Veröffentlichung eines VMC pro Subdomain | Unnötige Kosten und Komplexität | Ein VMC pro einzigartigem Logo ist ausreichend | | Vergessen, eine Subdomain mit anderem Logo zu überschreiben | Falsches Logo wird angezeigt | Veröffentlichen Sie einen subdomain-spezifischen BIMI-Record | | Hosting des SVG über HTTP | Record wird ignoriert | Stellen Sie das SVG nur über HTTPS bereit | | Verwendung eines nicht konformen SVG-Profils | Logo wird von Mailbox-Anbietern abgelehnt | Konvertieren Sie zu SVG Tiny P/S |

Kurzreferenz: Subdomain-BIMI-Checkliste

• [ ] DMARC p=