Jak skonfigurować BIMI: logo, DMARC i certyfikaty

BIMI (Brand Indicators for Message Identification) pozwala opublikować w DNS logo Twojej marki, które uczestniczący dostawcy skrzynek mogą wyświetlać obok Twoich wiadomości. Opiera się na DMARC: logo bierze się pod uwagę tylko dla poczty, która przechodzi DMARC przy polityce quarantine lub reject.

Dwie rzeczy warto wiedzieć na starcie:

• BIMI nie jest standardem IETF. Specyfikacja to indywidualny Internet-Draft, draft-brand-indicators-for-message-identification (wersja 14, maj 2026), bez formalnego statusu w IETF. Format logo opisuje kolejny indywidualny draft. W praktyce ważniejsze od draftu są wymagania poszczególnych dostawców skrzynek — a te się różnią.
• BIMI nie poprawia dostarczalności. BIMI Group zaznacza wprost, że BIMI nie wpływa na doręczanie wiadomości — to sygnał wizualny, który wymaga silnego uwierzytelniania. Nawet przy poprawnej konfiguracji to dostawca decyduje, czy pokaże logo, i bierze pod uwagę m.in. reputację nadawcy. Realną korzyścią dla bezpieczeństwa jest egzekwowanie polityki DMARC, którego BIMI wymaga, a nie samo logo.

Gdzie wyświetlają się logo

Dostawca	Certyfikat	Uwagi
Gmail	wymagany VMC lub CMC	Przy nadawcach zweryfikowanych certyfikatem VMC pojawia się znacznik weryfikacji. Rekord musi wskazywać certyfikat (plik PEM).
Apple Mail (iOS i iPadOS 16, macOS Ventura 13 i nowsze, iCloud.com)	VMC	Dokumentacja Apple wspomina o VMC i „other forms of BIMI Evidence Documents”; BIMI Group wymienia Apple wśród dostawców wymagających VMC.
Yahoo	niewymagany	Tylko dla poczty masowej i tylko wtedy, gdy Yahoo widzi wystarczającą reputację i zaangażowanie odbiorców. VMC, jeśli jest, wpływa na ocenę.

Lista BIMI Group (aktualizacja z maja 2025) wymienia też m.in. Fastmail, Zoho Mail, La Poste, Onet Pocztę i Comcast. Microsoft figuruje na niej jako dostawca, który BIMI nie obsługuje, więc w skrzynkach Outlook.com i Microsoft 365 logo się nie pojawi. Zasady się zmieniają — sprawdzaj dokumentację konkretnego dostawcy.

Warunek wstępny: DMARC w trybie egzekwowania

Zanim odbiorca w ogóle zajmie się BIMI, draft wymaga, żeby:

• polityka DMARC wynosiła p=quarantine lub p=reject dla domeny z nagłówka From i dla jej domeny organizacyjnej — p=none w którejkolwiek z nich wyklucza wiadomość;
• polityka dla subdomen sp, jeśli jest opublikowana, nie była ustawiona na none;
• sama wiadomość przechodziła DMARC dzięki SPF lub DKIM zgodnemu z domeną From (odbiorca może też uznać zaufany łańcuch ARC).

Przykład rekordu, który spełnia te warunki:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:dmarc-reports@example.com"

Nie przyspieszaj egzekwowania DMARC tylko dla logo: polityka quarantine lub reject kieruje do spamu albo odrzuca także Twoją własną pocztę z każdej usługi, która nie zapewnia zgodności domen. Przejdź przez kolejne etapy opisane w poradniku Jak skonfigurować DMARC.

Krok 1: przygotuj logo (SVG Tiny PS)

BIMI akceptuje wyłącznie SVG w ograniczonym profilu SVG Tiny Portable/Secure (draft-svg-tiny-ps-abrotman). Zwykły eksport SVG z programu graficznego prawie nigdy nie spełnia jego wymagań. Wymagania:

• element główny ma atrybuty version="1.2" i baseProfile="tiny-ps";
• plik zawiera niepusty element <title> z nazwą marki — draft zaleca najwyżej 64 znaki;
• bez skryptów, animacji, elementów interaktywnych, linków i odwołań do zasobów zewnętrznych oraz bez osadzonych obrazów rastrowych;
• bez atrybutów x= i y= w elemencie głównym <svg> (dodaje je np. Illustrator);
• rozmiar po dekompresji najwyżej 32 KB, zgodnie z zaleceniem draftu.

Gmail dodaje własne wymagania: co najmniej 96 × 96 pikseli, podane w bezwzględnych jednostkach (pikselach), a nie w procentach. Google zaleca też wyśrodkowanie logo w kwadracie z jednolitym tłem, bo przezroczyste tło może wyglądać inaczej, niż zakładasz.

Minimalny szkielet pliku:

<svg xmlns="http://www.w3.org/2000/svg" version="1.2" baseProfile="tiny-ps"
     width="96px" height="96px" viewBox="0 0 96 96">
  <title>Example</title>
  <rect width="96" height="96" fill="#ffffff"/>
  <!-- tu kształty logo -->
</svg>

BIMI Group udostępnia narzędzia do konwersji SVG i asystenta SVG, które w tym pomagają. Plik opublikuj pod adresem HTTPS; BIMI Group zaleca nagłówek Content-Type: image/svg+xml.

Krok 2: zdobądź certyfikat znaku

Certyfikat znaku (mark certificate) wystawia Mark Verifying Authority. Wiąże on Twoje logo — plik SVG jest osadzony w certyfikacie — z Twoją organizacją i domeną. Są dwa rodzaje:

	VMC (Verified Mark Certificate)	CMC (Common Mark Certificate)
Logo musi być	zarejestrowanym znakiem towarowym (lub znakiem urzędowym)	znakiem używanym wcześniej (prior use) albo zmodyfikowanym zarejestrowanym znakiem towarowym
Gmail	logo ze znacznikiem weryfikacji	logo bez znacznika
Apple Mail	akceptowany	dokumentacja Apple o nim nie wspomina

• Warunki CMC: DigiCert wymaga na przykład, żeby logo było używane co najmniej 12 miesięcy w domenie, którą kontrolujesz.
• Wystawcy są wymienieni na stronie BIMI Group; w chwili pisania to DigiCert, GlobalSign i SSL.com.
• Rejestracja znaku towarowego trwa długo. Jeśli logo nie jest jeszcze zarejestrowane, Google uprzedza, że może to zająć od 6 do 12 miesięcy.
• Odnowienie: certyfikaty znaków są ważne najwyżej 398 dni, więc zaplanuj coroczne odnawianie.
• Plik PEM: zawiera Twój certyfikat, a po nim certyfikaty pośrednie wystawcy (instrukcja Google dopisuje na końcu także certyfikat główny). Umieść plik pod adresem HTTPS i upewnij się, że zawiera cały łańcuch.
• Zmiana logo oznacza nowy certyfikat. Jeśli rekord wskazuje zarówno plik SVG, jak i certyfikat, odbiorca sprawdza, czy oba logo są identyczne (sekcja 7.9 draftu).

Krok 3: opublikuj rekord BIMI

default._bimi.example.com.  3600  IN  TXT  "v=BIMI1; l=https://brand.example.com/bimi/logo.svg; a=https://brand.example.com/bimi/certificate.pem"

Tag	Znaczenie
v=BIMI1	Wymagany, pierwszy, dokładnie w tej postaci. Przy innej wartości rekord jest ignorowany.
l=	Adres HTTPS logo SVG. Tag wymagany; puste l= razem z pustym a= oznacza rezygnację z BIMI. Przykład Google zostawia l= puste i opiera się na logo zawartym w certyfikacie z a=, ale draft oczekuje poprawnego adresu w l=, więc bezpieczniej wypełnić oba tagi.
a=	Adres HTTPS pliku PEM z certyfikatem VMC lub CMC. Opcjonalny, ale bez niego rekord nie zawiera dowodu (certyfikatu), a takiego rekordu Gmail i Apple nie zaakceptują.

• Nazwa: default._bimi przed nazwą domeny. Tak jak przy DMARC, wiele paneli DNS samo dopisuje domenę — wpisz tylko default._bimi.
• Tylko jeden rekord. Jeśli jest ich kilka, BIMI nie jest przetwarzane.
• Czas: Google zaleca TTL równy godzinie i uprzedza, że pojawienie się logo może potrwać do 48 godzin.
• Subdomeny: dla poczty z news.example.com odbiorca najpierw szuka default._bimi.news.example.com, a potem default._bimi.example.com. Jeśli subdomena ma nie pokazywać logo, choć domena główna je ma, opublikuj w niej jawną odmowę: v=BIMI1; l=; a=;.
• Selektory: używany jest default, chyba że wiadomość ma nagłówek BIMI-Selector objęty podpisem DKIM zgodnym z domeną From. Draft definiuje też tag lps=, który wyprowadza selektor z części lokalnej adresu nadawcy. Większości domen nic więcej nie potrzeba.

Rekord jest związany z domeną z nagłówka From, a nie z serwerem wysyłającym, więc obejmuje też pocztę z Twojego narzędzia do newslettera czy CRM — o ile ta poczta przechodzi DMARC.

Dlaczego logo się nie wyświetla

• DMARC ma p=none, sp=none, pct poniżej 100 albo t=y.
• Wiadomość nie przechodzi DMARC — zwykle dlatego, że zewnętrzna usługa wysyła ją bez zgodnego podpisu DKIM.
• SVG nie jest w profilu Tiny PS: brak <title>, atrybuty x/y w elemencie głównym, osadzona bitmapa, zły baseProfile.
• Gmail: brak tagu a=, niedostępny plik PEM albo brak w nim certyfikatów pośrednich.
• Logo pod adresem z l= różni się od logo w certyfikacie.
• Rekord trafił pod default._bimi.example.com.example.com albo istnieją dwa rekordy.
• Dostawca nie obsługuje BIMI albo jeszcze nie ufa nadawcy — liczą się reputacja i wolumen, a Yahoo pokazuje logo tylko w poczcie masowej. Wyświetlanie może też opóźniać pamięć podręczna — testuj na nowych wiadomościach.

Sprawdź konfigurację

Uruchom Sprawdzanie BIMI: narzędzie odczytuje rekord default._bimi, sprawdza SVG pod kątem profilu Tiny PS, analizuje certyfikat VMC lub CMC i weryfikuje, czy polityka DMARC spełnia wymagania. Potem wyślij wiadomość do skrzynki u dostawcy obsługującego BIMI i wklej jej nagłówki do analizatora nagłówków e-mail. Warunkiem jest dmarc=pass; odbiorcy, którzy wdrożyli draft, mogą też dopisać do Authentication-Results wynik bimi= (pass, none, fail, temperror, declined, skipped).