BIMI zonder certificaat.

Brand Indicators for Message Identification (BIMI) heeft de reputatie duur te zijn. Die reputatie is deels terecht — een Verified Mark Certificate (VMC) van een Certificate Authority kost honderden euro's per jaar. Echter, een VMC is niet vereist om je logo te tonen in ondersteunde e-mailclients.

Self-asserted BIMI werkt vandaag de dag, gratis, in Yahoo Mail en AOL Mail — twee platforms die samen goed zijn voor honderden miljoenen actieve inboxen. Als je organisatie nog niet klaar is om te investeren in een VMC, is self-asserted BIMI het juiste startpunt.

Dit artikel legt precies uit wat self-asserted BIMI is, welke clients het ondersteunen en hoe je het end-to-end implementeert zonder kosten.

Wat is self-asserted BIMI?

BIMI werkt in twee modi:

| Modus | Certificaat vereist | Ondersteunde clients | |---|---|---| | Self-asserted | Nee | Yahoo Mail, AOL Mail | | VMC-ondersteund | Ja (VMC van DigiCert of Entrust) | Gmail, Apple Mail (iOS 16+), Yahoo Mail, AOL Mail, Fastmail |

In self-asserted modus publiceer je een BIMI DNS-record dat verwijst naar je SVG-logobestand. Geen enkele certificaatautoriteit valideert je merkeigendom. De ontvangende mailserver controleert of je domein slaagt voor DMARC op handhavingsniveau, haalt vervolgens je logo op en toont het.

De afweging betreft bereik, niet functionaliteit. Je logo wordt correct weergegeven in Yahoo Mail en AOL Mail zonder enig certificaat. Gmail en Apple Mail vereisen een VMC voordat ze het logo tonen. Als je doelgroep voornamelijk op Yahoo of AOL zit, of als je je BIMI-infrastructuur wilt opzetten voordat je een VMC aanschaft, is self-asserted implementatie de juiste aanpak.

Vereisten

Voordat je een BIMI-record aanmaakt, moet je domein aan de volgende eisen voldoen. Deze worden gehandhaafd door ontvangende mailservers, niet door enige BIMI-tool.

1. DMARC op handhavingsniveau

Je domein moet een DMARC-beleid hebben van p=quarantine of p=reject. Een beleid van p=none zorgt ervoor dat BIMI volledig wordt genegeerd.

Minimaal acceptabel DMARC-record:

v=DMARC1; p=quarantine; adkim=s; aspf=s;

Aanbevolen DMARC-record voor BIMI:

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected];

Belangrijk: p=reject is het sterkste signaal naar ontvangende servers dat je domein volledig geauthenticeerd is. Yahoo Mail's BIMI-implementatie accepteert p=quarantine, maar p=reject is de industriestandaard aanbeveling en is vereist door Gmail wanneer je later een VMC toevoegt.

Om je huidige DMARC-record te verifiëren, bevraag DNS direct:

dig TXT _dmarc.joudomein.com

2. SPF en DKIM-uitlijning

DMARC-handhaving is afhankelijk van SPF en DKIM die slagen in uitgelijnde modus. Controleer dat:

• Je verzendinfrastructuur gedekt wordt door je SPF-record.
• DKIM-handtekeningen worden toegepast op uitgaande mail en het d=-domein uitlijnt met je From:-headerdomein.
• Je DMARC-rapporten een slagingspercentage tonen van bijna 100% voordat je verdergaat.

BIMI implementeren op een domein met significante DMARC-fouten zal geen consistente logoweergave opleveren.

3. Een SVG Tiny P/S logobestand

BIMI vereist een specifiek SVG-profiel genaamd SVG Tiny Portable/Secure (SVG Tiny P/S). Een standaard SVG geëxporteerd uit Adobe Illustrator, Figma of Inkscape zal niet werken zonder aanpassingen. De SVG Tiny P/S-specificatie verbiedt:

• Externe referenties en gelinkte bronnen
• Scripts en interactieve elementen
• Ingesloten rasterafbeeldingen (-elementen)
• Bepaalde filtereffecten en animaties

Het logo moet ook:

• Vierkante beeldverhouding hebben (1:1)
• Gehost zijn op een publiek toegankelijke HTTPS-URL
• Geserveerd worden met het juiste MIME-type (image/svg+xml)

Stapsgewijze implementatie

Stap 1 — Bereid je DMARC-record voor

Als je domein nog geen p=quarantine of p=reject heeft, werk je DMARC-record nu bij. Wacht 24–48 uur voor DNS-propagatie voordat je verdergaat.

Haast deze stap niet. Een BIMI-record publiceren voordat DMARC op handhavingsniveau is, levert geen logoweergave en geen foutmelding op — het record wordt simpelweg genegeerd.

Stap 2 — Genereer een compliant SVG Tiny P/S-bestand

Dit is de stap waar de meeste implementaties falen. Een logo handmatig converteren naar SVG Tiny P/S vereist het bewerken van ruwe XML en valideren tegen de W3C-specificatie. Fouten zijn niet altijd duidelijk.

Gebruik makeBIMI.com om gratis een compliant SVG Tiny P/S-bestand te genereren. Upload je bestaande logo (PNG, SVG of ander formaat), en makeBIMI converteert het naar een specificatie-compliant SVG Tiny P/S-bestand klaar voor BIMI-implementatie. Geen account vereist.

Stap 3 — Host het SVG-bestand

Upload je SVG Tiny P/S-bestand naar een webserver of CDN. Het bestand moet:

1. Toegankelijk zijn via HTTPS (niet HTTP).
2. Geserveerd worden vanaf een stabiele, permanente URL. De URL later wijzigen vereist een DNS-recordupdate.
3. Publiek toegankelijk zijn zonder authenticatie of redirects.

Voorbeeld gehoste URL:

https://bimi.joudomein.com/logo.svg

Verifieer dat het bestand toegankelijk is en het juiste content-type retourneert:

curl -I https://bimi.joudomein.com/logo.svg

De respons moet bevatten:

Content-Type: image/svg+xml

Stap 4 — Maak het BIMI DNS TXT-record aan

BIMI-records worden gepubliceerd als DNS TXT-records op een specifiek subdomein. Het formaat is:

default._bimi.joudomein.com

Recordformaat:

v=BIMI1; l=https://bimi.joudomein.com/logo.svg;

Voor self-asserted BIMI (zonder certificaat) wordt de a= authority evidence tag volledig weggelaten of leeg gelaten. Voeg geen placeholderwaarde toe.

DNS-recordoverzicht:

| Veld | Waarde | |---|---| | Type | TXT | | Naam / Host | default._bimi | | Waarde | v=BIMI1; l=https://bimi.joudomein.com/logo.svg; | | TTL | 3600 (of de standaard van je registrar) |

Opmerking: makeBIMI.com genereert de correct geformatteerde DNS TXT-recordwaarde samen met het SVG-bestand. Kopieer deze direct naar het configuratiescherm van je DNS-provider.

Stap 5 — Verifieer de implementatie

Nadat DNS is gepropageerd (doorgaans 1–24 uur), verifieer dat je BIMI-record correct resolveert:

dig TXT default._bimi.joudomein.com

Verwachte output bevat je recordwaarde:

default._bimi.joudomein.com. 3600 IN TXT "v=BIMI1; l=https://bimi.joudomein.com/logo.svg;"

Stuur een test-e-mail vanaf je domein naar een Yahoo Mail-adres en bevestig dat het logo verschijnt op de positie van de afzenderavatar.

Veelvoorkomende implementatiefouten

| Symptoom | Waarschijnlijke oorzaak | |---|---| | Logo verschijnt niet in Yahoo Mail | DMARC is p=none, of SVG-bestand voldoet niet aan SVG Tiny P/S | | DNS-record resolveert maar logo is leeg | SVG gehost via HTTP, niet HTTPS; of incorrect MIME-type | | Logo verschijnt vervormd of afgesneden | SVG viewBox is niet vierkant