BIMI op Subdomeinen: Hoe Overerving Werkt

Het publiceren van een BIMI-record voor je organisatiedomein breidt automatisch de weergave van merkindicatoren uit naar elk subdomein vanwaar je verzendt — zonder dat er extra DNS-records nodig zijn. Inzicht in het overervingsmodel, de beperkingen ervan en de afhankelijkheid van DMARC-uitlijning helpt je om BIMI correct te implementeren binnen een complexe verzendinfrastructuur.

Hoe BIMI-Overerving Werkt

BIMI-overerving volgt dezelfde opzoekhiërarchie die door DMARC wordt gebruikt. Wanneer een ontvangende mailserver een bericht evalueert dat is verzonden vanaf marketing.example.com, zoekt deze in de volgende volgorde naar een BIMI-record:

1. default._bimi.marketing.example.com — subdomein-specifiek record
2. default._bimi.example.com — terugval naar organisatiedomein

Als er geen record bestaat op subdomeinniveau, valt de ontvanger terug op het organisatiedomeinrecord. Dit betekent dat een enkel BIMI TXT-record gepubliceerd op default._bimi.example.com automatisch alle subdomeinen dekt.

Wat "Organisatiedomein" Betekent

Het organisatiedomein is het geregistreerde domein — het deel direct onder een publiek achtervoegsel. Voor mail.example.com en marketing.example.com is het organisatiedomein example.com. BIMI-overerving wordt altijd omhoog naar dit niveau opgelost, nooit naar een tussenliggend subdomein.

Een Enkel BIMI-Record Publiceren voor Alle Subdomeinen

Als al je verzendende subdomeinen hetzelfde logo gebruiken, is één DNS-record voldoende.

Stappen:

1. Bevestig dat je organisatiedomein een geldig DMARC-beleid heeft (zie DMARC-uitlijningsvereisten hieronder).
2. Bereid een vierkant SVG-logo voor dat voldoet aan het SVG Tiny P/S-profiel.
3. Host de SVG op een stabiele, publiek toegankelijke HTTPS-URL.
4. Publiceer een enkel BIMI TXT-record op je organisatiedomein:

   default._bimi.example.com  TXT  "v=BIMI1; l=https://brand.example.com/logo.svg; a=https://brand.example.com/cert.pem"
   

1. Controleer of er geen conflicterende BIMI-records bestaan op subdomeinniveau.

Alle subdomeinen — mail.example.com, marketing.example.com, transactional.example.com — erven nu automatisch dit record.

BIMI Overschrijven Per Subdomein

Je kunt het overgeërfde record overschrijven voor elk individueel subdomein door een apart BIMI TXT-record direct te publiceren op het _bimi-label van dat subdomein.

Wanneer overschrijven:

• Een subdomein verzendt onder een ander merk- of productlogo.
• Een subdomein vereist een ander Verified Mark Certificate (VMC).
• Je wilt BIMI-weergave onderdrukken voor een specifiek subdomein (publiceer een leeg record).

Stappen om te overschrijven:

1. Identificeer het subdomein dat een ander logo of certificaat vereist.
2. Publiceer een subdomein-specifiek BIMI-record:

   default._bimi.marketing.example.com  TXT  "v=BIMI1; l=https://brand.example.com/marketing-logo.svg; a=https://brand.example.com/marketing-cert.pem"
   

1. Het subdomein-specifieke record heeft volledige voorrang boven het organisatiedomeinrecord voor berichten die vanaf dat subdomein worden verzonden.

Om BIMI te onderdrukken op een subdomein, publiceer een record met een lege l=-waarde:

default._bimi.noreply.example.com  TXT  "v=BIMI1; l=;"

VMC-Dekking Over Subdomeinen

Een Verified Mark Certificate (VMC) authenticeert je logo en is vereist door grote mailboxproviders — waaronder Gmail en Apple Mail — om de merkindicator met een geverifieerd vinkje weer te geven.

Eén VMC Dekt Alle Subdomeinen die Hetzelfde Logo Gebruiken

Een VMC wordt uitgegeven voor een specifiek logobestand (de SVG), niet voor een specifiek domein of subdomein. Zolang dezelfde SVG wordt gerefereerd in al je BIMI-records, dekt een enkele VMC je organisatiedomein en elk subdomein dat dat logo erft of expliciet refereert.

Je hebt geen VMC per subdomein nodig.

Meerdere Logo's Vereisen Meerdere VMC's

Als verschillende subdomeinen verschillende logo's weergeven — bijvoorbeeld een moedermerklogo op mail.example.com en een productmerklogo op app.example.com — vereist elk afzonderlijk logo zijn eigen VMC.

| Scenario | Vereiste VMC's | |---|---| | Eén logo, één of meerdere subdomeinen | 1 VMC | | Twee logo's over twee subdomeinen | 2 VMC's | | Drie logo's over tien subdomeinen | 3 VMC's |

De bepalende factor is altijd het aantal unieke logo's, niet het aantal domeinen of subdomeinen.

DMARC-Uitlijningsvereisten voor Subdomeinen

BIMI wordt niet weergegeven tenzij het verzonden bericht slaagt voor DMARC-authenticatie. Voor subdomeinverzenders is de cruciale DMARC-configuratie de sp=-tag — het subdomeinbeleid.

De sp=-Tag

De sp=-tag in het DMARC-record van je organisatiedomein definieert het beleid dat wordt toegepast op berichten van subdomeinen. BIMI vereist een beleid van quarantine of reject — een beleid van none is onvoldoende.

Voorbeeld DMARC-record met subdomeinbeleid:

_dmarc.example.com  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Beleidsoverervingsregels

| DMARC-Record | Toegepast Subdomeinbeleid | |---|---| | p=reject; sp=reject | Subdomeinen erven reject ✅ | | p=reject; sp=quarantine | Subdomeinen gebruiken quarantine ✅ | | p=reject; sp=none | Subdomeinen gebruiken none — BIMI wordt niet weergegeven ❌ | | p=reject (geen sp=-tag) | Subdomeinen erven p=reject ✅ | | p=none (geen sp=-tag) | Subdomeinen erven none — BIMI wordt niet weergegeven ❌ |

Belangrijk: Als sp= wordt weggelaten, erven subdomeinen de waarde van p=. Zorg ervoor dat p= is ingesteld op quarantine of reject voordat je op overerving vertrouwt.

Subdomein-Specifieke DMARC-Records

Je kunt ook een DMARC-record direct op een subdomein publiceren om het overgeërfde beleid te overschrijven:

_dmarc.marketing.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Een DMARC-record op subdomeinniveau heeft volledige voorrang boven het organisatiedomeinrecord voor dat subdomein — dezelfde overervings- en overschrijvingslogica die van toepassing is op BIMI-records.

Veelvoorkomende Subdomein BIMI-Fouten

| Fout | Resultaat | Oplossing | |---|---|---| | sp=none in DMARC | BIMI onderdrukt op alle subdomeinen | Stel sp=quarantine of sp=reject in | | Onnodig een VMC per subdomein publiceren | Onnodige kosten en complexiteit | Eén VMC per uniek logo is voldoende | | Vergeten een subdomein met een ander logo te overschrijven | Verkeerd logo weergegeven | Publiceer een subdomein-specifiek BIMI-record | | De SVG hosten via HTTP | Record wordt genegeerd | Serveer de SVG alleen via HTTPS | | Een niet-conform SVG-profiel gebruiken | Logo afgewezen door mailboxproviders | Converteer naar SVG Tiny P/S |

Snelle Referentie: Subdomein BIMI-Checklist

• [ ] DMARC p=