BIMI : Fonctionnement des indicateurs de marque pour l'identification des messages
Un guide pratique et vérifié sur BIMI : application DMARC, SVG Tiny P/S, enregistrements DNS, certificats VMC ou CMC, politique des récepteurs et validation.
BIMI : Fonctionnement des indicateurs de marque pour l’identification des messages
BIMI signifie Brand Indicators for Message Identification. Il s’agit d’un standard d’authentification des e-mails permettant à un expéditeur de publier un logo de marque que les fournisseurs de boîtes aux lettres compatibles peuvent évaluer et, lorsque leurs propres politiques l’autorisent, afficher à côté des messages de l’expéditeur.
BIMI n’est pas une fonctionnalité de téléversement d’image. Il repose sur l’authentification des e-mails, le DNS, un format SVG contraint et la politique des récepteurs. Un enregistrement BIMI correct ne contraint pas une boîte de réception à afficher un logo. Les fournisseurs de boîtes aux lettres prennent leurs propres décisions pour chaque domaine.[1]
Le chemin pratique comporte quatre étapes :
- authentifier le domaine d’envoi et appliquer DMARC ;
- préparer un logo SVG Tiny Portable/Secure valide ;
- publier l’enregistrement d’assertion BIMI et, si nécessaire, un fichier de certificat ; et
- tester le domaine déployé plutôt que de supposer que la simple publication est suffisante.
Effectuer un audit de domaine BIMI ou valider un logo avant de modifier le DNS.
Ce que fait BIMI
Un enregistrement d’assertion BIMI indique l’emplacement d’un fichier de logo et, le cas échéant, d’un fichier de certificat. Un récepteur compatible peut récupérer ces ressources, les évaluer conjointement avec l’authentification de l’expéditeur, et décider d’afficher ou non l’indicateur.
Le résultat est une identité d’expéditeur reconnaissable dans la boîte de réception du destinataire. L’objectif sous-jacent, cependant, est un renforcement de l’authentification de l’expéditeur. BIMI dépend de DMARC ; il ne remplace ni DMARC, ni SPF, ni DKIM.
Ce que BIMI ne fait pas
BIMI ne garantit pas la délivrabilité, la réputation de l’expéditeur, ni l’affichage du logo. Un enregistrement techniquement valide peut ne pas s’afficher si le fournisseur récepteur applique une politique différente, si une ressource ne peut pas être récupérée ou validée, ou si le message ne satisfait pas les conditions d’authentification du récepteur. BIMI doit donc être mis en œuvre dans le cadre d’un programme d’e-mails authentifiés plus large, et non comme un raccourci cosmétique.[1]
Le chemin d’implémentation
1. Appliquer DMARC
Pour le flux BIMI documenté par Google, DMARC doit être configuré avec une politique p=quarantine ou p=reject et pct=100 ; p=none ne remplit pas les conditions requises.[2] SPF ou DKIM doit également authentifier les e-mails d’une manière qui satisfait l’alignement DMARC.
Si le domaine est encore en mode surveillance, commencez par un programme DMARC contrôlé. DMARCSwiss est le service de portefeuille dédié au suivi continu des rapports agrégés et à la progression de la politique. Cette page ne considère pas p=none comme prêt pour BIMI.
Consultez le guide détaillé sur les exigences DMARC.
2. Préparer un logo SVG Tiny P/S
BIMI utilise un profil SVG restreint conçu pour un rendu sécurisé dans un environnement sensible à la sécurité. Les exports des outils de conception standard contiennent fréquemment des éléments non pris en charge, des références externes, des scripts, des animations ou des géométries nécessitant une normalisation.
La documentation publiée par Google inclut les exigences SVG Tiny P/S et les conditions spécifiques à Gmail, notamment les dimensions absolues en pixels, les recommandations sur la présentation carrée, les arrière-plans unis, la taille du fichier et un élément desc.[2]
makeBIMI convertit et valide les ressources SVG selon les contraintes techniques applicables. Le résultat est une validation technique, et non une garantie qu’une autorité de certification ou un fournisseur de boîtes aux lettres acceptera le déploiement final.
Convertir ou valider un logo · Lire le guide SVG Tiny P/S · Lire le standard technique
3. Publier l’enregistrement BIMI
Un enregistrement d’assertion BIMI par défaut est publié à :
default._bimi.example.com
Un enregistrement représentatif est :
v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem
La balise v= déclare la version BIMI. La balise l= identifie le SVG hébergé. La balise a= identifie le fichier de certificat lorsque l’implémentation du récepteur l’exige.
Les ressources doivent être accessibles publiquement via HTTPS et doivent rester stables après la publication. La documentation de Google explique la construction du fichier de certificat et indique que le certificat de l’entité, les certificats intermédiaires et le certificat racine sont généralement ajoutés dans cet ordre lorsqu’un fichier PEM est utilisé.[2]
Consultez le guide des enregistrements DNS BIMI avant de publier un enregistrement en production.
4. Déterminer si un certificat est nécessaire
Les exigences des récepteurs diffèrent. Google documente l’utilisation d’un VMC ou d’un CMC pour sa configuration BIMI, et indique que le badge de vérification de Gmail est associé à un VMC.[2] Un VMC est fondé sur un logo déposé en tant que marque et un processus de vérification rigoureux. Un CMC peut être disponible pour des cas d’usage non soumis à dépôt de marque éligibles, sous réserve des exigences actuelles de l’autorité de certification et des récepteurs.
La formulation approuvée pour les émetteurs VMC actifs dans le portefeuille est : DigiCert and Entrust are the active VMC issuers. Ne vous fiez pas aux listes d’émetteurs historiques et ne supposez pas que tous les types de certificats produisent le même résultat auprès des récepteurs.
Lire le guide VMC et CMC · Comparer VMC et CMC · Contacter veriBIMI
La politique des récepteurs est déterminante
Le standard BIMI offre aux récepteurs une méthode commune pour obtenir et évaluer les informations de logo. Il ne supprime pas le pouvoir discrétionnaire des récepteurs. Le BIMI Group indique explicitement qu’un fournisseur de boîtes aux lettres n’est pas tenu d’afficher un logo pour un domaine qui utilise BIMI, et peut prendre des décisions propres pour chaque domaine.[1]
Pour cette raison, makeBIMI maintiendra une matrice des exigences des récepteurs BIMI datée. Elle séparera les exigences documentées des fournisseurs des règles générales du standard, et signalera les comportements incertains ou non documentés comme tels. Elle n’inférera pas de support à partir de captures d’écran, de déclarations tierces ou d’articles de blog obsolètes.
Raisons fréquentes pour lesquelles un logo ne s’affiche pas
Les causes habituelles sont simples :
- DMARC est encore configuré à
p=none, ou le flux d’envoi n’est pas aligné. - Le SVG contient des éléments interdits ou ne satisfait pas les contraintes documentées d’un récepteur.
- L’enregistrement d’assertion BIMI est malformé, publié sous le mauvais sélecteur, ou pas encore visible dans le DNS.
- Le fichier SVG ou PEM hébergé ne peut pas être récupéré de manière sécurisée.
- La chaîne de certificats ou la relation avec le logo ne se valide pas.
- Une plateforme d’envoi tierce n’est pas configurée pour l’authentification alignée.
- Le fournisseur récepteur n’affiche pas l’indicateur pour ce message ou ce domaine.
Utilisez l’audit BIMI pour examiner la configuration observable du domaine, puis suivez le guide technique approprié plutôt que de modifier plusieurs paramètres simultanément.
Une séquence d’implémentation rigoureuse
| Étape | Résultat | Ressource suivante |
|---|---|---|
| Auditer le domaine actuel | Identifier l’état de DMARC et de l’enregistrement BIMI | Audit de domaine |
| Préparer le logo | Produire une ressource SVG Tiny P/S conforme | Convertisseur et validateur de logo |
| Atteindre une application DMARC sécurisée | Passer de l’observation à une politique appliquée avec preuves à l’appui | Guide des exigences DMARC |
| Publier et héberger les ressources | Servir le SVG et, le cas échéant, le PEM via HTTPS | Guide des enregistrements DNS |
| Résoudre les exigences de certificat | Choisir le chemin approprié selon les conditions actuelles des récepteurs et des certificats | Guide des certificats |
| Valider le système déployé | Tester le domaine réel, les ressources et le chemin d’envoi | Guide de dépannage |
Guides d’implémentation connexes
- Standard technique BIMI
- Compatibilité BIMI avec les clients e-mail
- BIMI avec des expéditeurs tiers et des ESP
- Comment vérifier si BIMI fonctionne
- Pourquoi un logo BIMI ne s’affiche pas
- BIMI et Microsoft Outlook
Foire aux questions
BIMI fonctionne-t-il sans application de DMARC ?
Non, pas dans le flux BIMI documenté par Google. Google exige une politique DMARC de p=quarantine ou p=reject et pct=100, et non p=none.[2]
Un SVG standard est-il suffisant ?
Non. BIMI utilise un profil SVG Tiny P/S contraint. Un logo qui s’affiche correctement sur un site web peut tout de même contenir des éléments qui ne respectent pas les contraintes BIMI. Validez la ressource hébergée finale plutôt que de supposer qu’un export d’outil de conception est adapté.
Un enregistrement BIMI valide garantit-il l’affichage du logo dans toutes les boîtes de réception ?
Non. L’affichage par le récepteur reste une décision du récepteur. Le BIMI Group note que les fournisseurs peuvent prendre des décisions propres pour chaque domaine.[1]
Quels émetteurs VMC sont actifs ?
Pour le contenu du portefeuille, utilisez la formulation approuvée actuelle : DigiCert and Entrust are the active VMC issuers. Les exigences relatives aux certificats et aux récepteurs pouvant évoluer, vérifiez les conditions en vigueur avant toute demande.
Sources
[1] BIMI Group — Mailbox Providers