BIMI sur les sous-domaines : comment fonctionne l'héritage

Publier un enregistrement BIMI pour votre domaine organisationnel étend automatiquement l'affichage de l'indicateur de marque à chaque sous-domaine depuis lequel vous envoyez des emails — sans aucun enregistrement DNS supplémentaire. Comprendre le modèle d'héritage, ses limites et sa dépendance à l'alignement DMARC vous aidera à déployer correctement BIMI sur une infrastructure d'envoi complexe.

Comment fonctionne l'héritage BIMI

L'héritage BIMI suit la même hiérarchie de recherche que DMARC. Lorsqu'un serveur de messagerie destinataire évalue un message envoyé depuis marketing.example.com, il recherche un enregistrement BIMI dans cet ordre :

1. default._bimi.marketing.example.com — enregistrement spécifique au sous-domaine
2. default._bimi.example.com — repli sur le domaine organisationnel

Si aucun enregistrement n'existe au niveau du sous-domaine, le destinataire se replie sur l'enregistrement du domaine organisationnel. Cela signifie qu'un seul enregistrement BIMI TXT publié à default._bimi.example.com couvre automatiquement tous les sous-domaines.

Ce que signifie « domaine organisationnel »

Le domaine organisationnel est le domaine enregistré — la partie située immédiatement sous un suffixe public. Pour mail.example.com et marketing.example.com, le domaine organisationnel est example.com. L'héritage BIMI remonte toujours vers ce niveau, jamais vers un sous-domaine intermédiaire.

Publier un seul enregistrement BIMI pour tous les sous-domaines

Si tous vos sous-domaines d'envoi utilisent le même logo, un seul enregistrement DNS suffit.

Étapes :

1. Confirmez que votre domaine organisationnel dispose d'une politique DMARC valide (voir Exigences d'alignement DMARC ci-dessous).
2. Préparez un logo SVG carré conforme au profil SVG Tiny P/S.
3. Hébergez le SVG à une URL HTTPS stable et accessible publiquement.
4. Publiez un seul enregistrement BIMI TXT à votre domaine organisationnel :

   default._bimi.example.com  TXT  "v=BIMI1; l=https://brand.example.com/logo.svg; a=https://brand.example.com/cert.pem"
   

1. Vérifiez qu'aucun enregistrement BIMI conflictuel n'existe au niveau des sous-domaines.

Tous les sous-domaines — mail.example.com, marketing.example.com, transactional.example.com — héritent désormais automatiquement de cet enregistrement.

Remplacer BIMI par sous-domaine

Vous pouvez remplacer l'enregistrement hérité pour tout sous-domaine individuel en publiant un enregistrement BIMI TXT distinct directement au label _bimi de ce sous-domaine.

Quand effectuer un remplacement :

• Un sous-domaine envoie sous un logo de marque ou de produit différent.
• Un sous-domaine nécessite un Verified Mark Certificate (VMC) différent.
• Vous souhaitez supprimer l'affichage BIMI pour un sous-domaine spécifique (publiez un enregistrement nul).

Étapes pour effectuer un remplacement :

1. Identifiez le sous-domaine qui nécessite un logo ou certificat différent.
2. Publiez un enregistrement BIMI spécifique au sous-domaine :

   default._bimi.marketing.example.com  TXT  "v=BIMI1; l=https://brand.example.com/marketing-logo.svg; a=https://brand.example.com/marketing-cert.pem"
   

1. L'enregistrement spécifique au sous-domaine a pleine priorité sur l'enregistrement du domaine organisationnel pour les messages envoyés depuis ce sous-domaine.

Pour supprimer BIMI sur un sous-domaine, publiez un enregistrement avec une valeur l= vide :

default._bimi.noreply.example.com  TXT  "v=BIMI1; l=;"

Couverture VMC sur les sous-domaines

Un Verified Mark Certificate (VMC) authentifie votre logo et est exigé par les principaux fournisseurs de messagerie — notamment Gmail et Apple Mail — pour afficher l'indicateur de marque avec une coche de vérification.

Un seul VMC couvre tous les sous-domaines utilisant le même logo

Un VMC est émis pour un fichier logo spécifique (le SVG), et non pour un domaine ou sous-domaine spécifique. À condition que le même SVG soit référencé dans tous vos enregistrements BIMI, un seul VMC couvre votre domaine organisationnel et chaque sous-domaine qui hérite de ce logo ou le référence explicitement.

Vous n'avez pas besoin d'un VMC par sous-domaine.

Plusieurs logos nécessitent plusieurs VMCs

Si différents sous-domaines affichent différents logos — par exemple, un logo de marque parent sur mail.example.com et un logo de marque produit sur app.example.com — chaque logo distinct nécessite son propre VMC.

| Scénario | VMCs requis | |---|---| | Un logo, un ou plusieurs sous-domaines | 1 VMC | | Deux logos sur deux sous-domaines | 2 VMCs | | Trois logos sur dix sous-domaines | 3 VMCs |

Le facteur déterminant est toujours le nombre de logos uniques, et non le nombre de domaines ou sous-domaines.

Exigences d'alignement DMARC pour les sous-domaines

BIMI ne s'affichera pas à moins que le message envoyé ne passe l'authentification DMARC. Pour les expéditeurs utilisant des sous-domaines, la configuration DMARC critique est le tag sp= — la politique de sous-domaine.

Le tag sp=

Le tag sp= dans l'enregistrement DMARC de votre domaine organisationnel définit la politique appliquée aux messages provenant des sous-domaines. BIMI exige une politique de quarantine ou reject — une politique de none est insuffisante.

Exemple d'enregistrement DMARC avec politique de sous-domaine :

_dmarc.example.com  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Règles d'héritage de politique

| Enregistrement DMARC | Politique de sous-domaine appliquée | |---|---| | p=reject; sp=reject | Les sous-domaines héritent de reject ✅ | | p=reject; sp=quarantine | Les sous-domaines utilisent quarantine ✅ | | p=reject; sp=none | Les sous-domaines utilisent none — BIMI ne s'affichera pas ❌ | | p=reject (pas de tag sp=) | Les sous-domaines héritent de p=reject ✅ | | p=none (pas de tag sp=) | Les sous-domaines héritent de none — BIMI ne s'affichera pas ❌ |

Important : Si sp= est omis, les sous-domaines héritent de la valeur de p=. Assurez-vous que p= est défini sur quarantine ou reject avant de vous fier à l'héritage.

Enregistrements DMARC spécifiques aux sous-domaines

Vous pouvez également publier un enregistrement DMARC directement au niveau d'un sous-domaine pour remplacer la politique héritée :

_dmarc.marketing.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Un enregistrement DMARC au niveau du sous-domaine a pleine priorité sur l'enregistrement du domaine organisationnel pour ce sous-domaine — la même logique d'héritage et de remplacement qui s'applique aux enregistrements BIMI.

Erreurs courantes BIMI sur les sous-domaines

| Erreur | Résultat | Correction | |---|---|---| | sp=none dans DMARC | BIMI supprimé sur tous les sous-domaines | Définir sp=quarantine ou sp=reject | | Publier un VMC par sous-domaine inutilement | Coût et complexité inutiles | Un VMC par logo unique suffit | | Oublier de remplacer un sous-domaine avec un logo différent | Mauvais logo affiché | Publier un enregistrement BIMI spécifique au sous-domaine | | Héberger le SVG en HTTP | Enregistrement ignoré | Servir le SVG uniquement en HTTPS | | Utiliser un profil SVG non conforme | Logo rejeté par les fournisseurs de messagerie | Convertir en SVG Tiny P/S |

Référence rapide : checklist BIMI pour les sous-domaines

• [ ] DMARC p=