Le parcours vers un Verified Mark Certificate

Un Verified Mark Certificate (VMC) est un certificat numérique délivré par une autorité de certification (CA) agréée qui lie cryptographiquement le logo de votre marque déposée à votre domaine d’envoi d’emails. Lorsqu’il est déployé correctement avec un enregistrement DNS BIMI, il indique aux fournisseurs de messagerie participants — notamment Gmail, Yahoo Mail, Apple Mail et Fastmail — d’afficher le logo de votre marque dans la boîte de réception à côté des messages authentifiés.

Ce guide couvre chaque prérequis et action nécessaires pour obtenir et déployer un VMC, dans le bon ordre.

Prérequis en un coup d’œil

Avant de commencer, vérifiez que vous pouvez satisfaire toutes les conditions suivantes :

• Politique DMARC à p=reject ou p=quarantine (application obligatoire)
• Une marque déposée pour votre logo dans au moins une juridiction éligible
• Un fichier logo SVG conforme au profil W3C SVG Tiny 1.2 Portable/Secure (P/S)
• Accès au DNS de votre domaine pour publier l’enregistrement BIMI
• Un budget pour le VMC — les certificats sont délivrés annuellement et facturés par domaine

Étape 1 : Appliquer DMARC au niveau de la politique

DMARC (Domain-based Message Authentication, Reporting & Conformance) est un fondement incontournable. Un VMC n’a aucun effet si votre domaine ne satisfait pas l’alignement DMARC, et les fournisseurs de messagerie n’afficheront pas les logos BIMI pour les domaines fonctionnant en dessous du niveau d’application.

Exigences

• SPF et DKIM doivent tous deux être configurés et alignés pour votre domaine d’envoi.
• Votre enregistrement DMARC doit spécifier p=reject ou p=quarantine. Une politique à p=none n’est pas éligible.
• L’enregistrement DMARC doit être publié au niveau du domaine organisationnel (par exemple, _dmarc.example.com), pas sur un sous-domaine.

Parcours recommandé vers l’application

1. Publiez un enregistrement DMARC initial à p=none avec des adresses de reporting rua et ruf.
2. Collectez les rapports agrégés pendant au minimum deux à quatre semaines.
3. Identifiez tous les flux de messagerie légitimes et assurez-vous que chacun satisfait l’alignement SPF ou DKIM.
4. Faites progresser la politique de manière incrémentale : p=none → p=quarantine → p=reject.
5. Confirmez que l’enregistrement final ressemble à :

_dmarc.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Important : Ne passez pas aux étapes suivantes tant que l’application DMARC n’est pas stable. Un flux de messagerie mal configuré découvert après la délivrance du VMC peut entraîner le rejet d’emails légitimes.

Étape 2 : Enregistrer votre marque

Un VMC ne peut être délivré que pour un logo qui est une marque déposée dans une juridiction reconnue par l’autorité de certification émettrice. C’est l’étape que la plupart des organisations sous-estiment en termes de délai.

Juridictions éligibles (en 2024)

Les autorités de certification agréées acceptent actuellement les enregistrements de marques des offices suivants :

Cette liste s’élargit périodiquement. Vérifiez la liste actuelle auprès de l’autorité de certification de votre choix avant de déposer une demande.

Points clés à considérer

1. La marque doit couvrir le logo exact que vous avez l’intention d’utiliser dans BIMI. Une marque verbale (texte uniquement) n’est pas éligible ; l’enregistrement doit porter sur une marque figurative ou un dessin (un logo).
2. Le statut d’enregistrement doit être actif au moment de la délivrance du VMC et pendant toute la durée de validité du certificat.
3. Les délais d’enregistrement de marque varient selon les juridictions. L’examen USPTO seul prend généralement 8 à 12 mois. Planifiez en conséquence.
4. Si votre logo est déjà enregistré, confirmez le numéro d’enregistrement et l’image exacte au dossier — le SVG que vous soumettez doit correspondre à la marque enregistrée.

Étape 3 : Convertir votre logo en SVG Tiny 1.2 Portable/Secure

C’est l’étape la plus exigeante techniquement pour la plupart des équipes de marque et de design. La spécification VMC exige que votre logo soit encodé en fichier SVG Tiny 1.2 Portable/Secure (P/S). Les fichiers SVG standard exportés depuis Adobe Illustrator, Figma ou Inkscape ne passeront pas la validation de l’autorité de certification sans modification.

Qu’est-ce que SVG Tiny 1.2 P/S ?

SVG Tiny 1.2 est un sous-ensemble de la spécification SVG conçu pour les environnements contraints. Le profil Portable/Secure ajoute des restrictions supplémentaires pour empêcher le contenu exécutable, le chargement de ressources externes et les scripts — tous représentant des risques de sécurité dans un contexte de rendu d’email.

Éléments SVG courants à supprimer ou remplacer

Exigences de conversion

1. Le fichier doit déclarer l’espace de noms et le profil SVG Tiny 1.2 corrects :
   xml

   <svg version="1.2" baseProfile="tiny-ps"
        xmlns="http://www.w3.org/2000/svg" ...>
   

2. Un élément <title> doit être présent comme premier enfant de l’élément racine <svg>.
3. Le fichier doit être autonome — pas de polices, images ou feuilles de style externes.
4. Le canevas doit être carré (largeur et hauteur égales). La plupart des fournisseurs de messagerie recadrent ou masquent les logos en format circulaire ou carré.
5. La taille du fichier doit rester inférieure à 32 Ko après conversion.

Validation

Après conversion, validez le fichier par rapport au schéma SVG Tiny P/S avant de le soumettre à une autorité de certification. La soumission d’un fichier non conforme entraînera un rejet et retardera la délivrance.

Outil de conversion SVG gratuit : makeBIMI.com convertit votre logo en fichier SVG Tiny 1.2 P/S conforme à BIMI gratuitement. Téléchargez votre fichier logo existant et récupérez un SVG prêt pour l’autorité de certification.

Étape 4 : Faire une demande auprès d’une autorité de certification agréée

Une fois votre politique DMARC appliquée, votre marque enregistrée et votre SVG conforme, vous pouvez demander un VMC auprès d’une autorité de certification agréée.

Autorités de certification agréées

En 2024, deux autorités de certification sont autorisées à délivrer des VMC :

• DigiCert — digicert.com
• Entrust — entrust.com

Des autorités de certification supplémentaires peuvent être agréées au fil du temps. Consultez la liste des CA du BIMI Group pour connaître les émetteurs actuellement autorisés.

Ce que l’autorité de certification valide

L’autorité de certification effectue les vérifications suivantes avant de délivrer un VMC :

1. Validation du contrôle de domaine (DCV) : Vous devez prouver que vous êtes propriétaire du domaine pour lequel le VMC est demandé.
2. Vérification de la marque : L’autorité de certification vérifie l’enregistrement de la marque dans la base de données de l’office de propriété intellectuelle concerné. Vous devrez fournir votre numéro d’enregistrement et la juridiction.
3. Correspondance logo-marque : Le SVG que vous soumettez est comparé à la marque enregistrée. Ils doivent être substantiellement identiques.
4. Vérification de l’application DMARC : Certaines autorités de certification vérifient qu’un DMARC