BIMI – jak wyświetlić logo firmy obok wiadomości

Czym jest BIMI – a czym nie jest

BIMI (Brand Indicators for Message Identification) to sposób na opublikowanie w DNS logo przypisanego do domeny. Gdy wiadomość z Twojej domeny przejdzie weryfikację DMARC, skrzynka obsługująca BIMI może pobrać logo i pokazać je na liście wiadomości zamiast zwykłego kółka z literą. Niektórzy operatorzy dodają znaczek weryfikacji, jeśli logo jest poparte certyfikatem znaku towarowego.

Warto znać ograniczenia. BIMI sam niczego nie uwierzytelnia – całe bezpieczeństwo pochodzi z weryfikacji DMARC, która musi się powieść wcześniej. Nie jest też sposobem na problemy z dostarczalnością: wiadomość, która trafiłaby do spamu, nadal tam trafi, a logo pojawia się tylko przy poczcie, którą operator i tak przyjmuje. To raczej nagroda za dokończone uwierzytelnianie poczty. Specyfikację rozwija grupa robocza BIMI Group; ma ona status Internet-Draftu, a nie RFC.

Wymóg 1: DMARC w trybie egzekwowania

Polityka DMARC Twojej domeny musi ją realnie chronić: p=quarantine albo p=reject. Samo monitorowanie (p=none) nie wystarczy, podobnie jak polityka stosowana tylko do części poczty (pct poniżej 100). Gmail podaje oba warunki wprost.

_dmarc.firma.pl.  TXT  "v=DMARC1; p=quarantine; rua=mailto:raporty-dmarc@firma.pl"

• Domyślna wartość pct to 100, więc możesz go po prostu pominąć. Jeśli w trakcie wdrażania wpisałeś pct=50, logo nie pojawi się, dopóki go nie usuniesz.
• BIMI Group zaleca egzekwowanie polityki zarówno w domenie głównej (firma.pl), jak i w każdej subdomenie, z której wysyłasz pocztę – sprawdź, czy sp=none nie znosi go dla subdomen.
• Każda wiadomość musi też sama przejść DMARC, czyli mieć pozytywny i wyrównany wynik SPF lub DKIM. Poczta z narzędzia do newsletterów, które nie jest uwierzytelnione dla Twojej domeny, nie dostanie logo, nawet jeśli cała reszta jest w porządku.

Jeśli wciąż masz p=none, najpierw przejdź wdrożenie opisane w poradniku o DMARC. Włączanie egzekwowania tylko dla logo, zanim uwierzytelnisz wszystkich prawdziwych nadawców, grozi utratą prawdziwej poczty.

Wymóg 2: logo w formacie SVG Tiny PS

Logo musi być plikiem SVG w profilu SVG Tiny Portable/Secure (SVG Tiny PS) – okrojonej wersji SVG Tiny 1.2, którą można bezpiecznie wyświetlić w programie pocztowym. Zwykły eksport SVG z programu graficznego prawie nigdy nie spełnia tych wymagań bez poprawek.

• Element główny ma atrybuty version="1.2" i baseProfile="tiny-ps", a plik zawiera element <title> – zwykle z nazwą firmy.
• Żadnych skryptów, odwołań zewnętrznych (czcionek, obrazów, linków), osadzonych bitmap ani animacji.
• Kwadrat z logo na środku: skrzynki mogą przycinać je do koła lub kwadratu z zaokrąglonymi rogami, więc trzymaj ważne elementy z dala od narożników i użyj jednolitego tła zamiast przezroczystego.
• Mały rozmiar – według wytycznych BIMI Group najwyżej 32 KB.
• Udostępniony przez HTTPS, publicznie, z typem zawartości image/svg+xml.

Większość edytorów grafiki wektorowej nie zapisuje tego profilu bezpośrednio. BIMI Group udostępnia narzędzia do konwersji i instrukcje, a wystawcy certyfikatów sprawdzają plik w ramach weryfikacji.

Wymóg 3: rekord BIMI

Rekord to rekord TXT pod nazwą default._bimi w Twojej domenie. default to selektor; istnieją też inne, ale nadawca, który żadnego nie wskaże, dostaje default.

default._bimi.firma.pl.  3600  IN  TXT  "v=BIMI1; l=https://firma.pl/marka/bimi-logo.svg; a=https://firma.pl/marka/bimi-cert.pem"

Rekord z pustymi l= i a= (v=BIMI1; l=; a=;) oznacza wyraźną rezygnację z BIMI dla domeny. Jak inne rekordy TXT, w większości paneli DNS wpisuje się go pod hostem default._bimi – zob. jak dodać rekordy DNS.

VMC czy CMC – certyfikat znaku

Samo logo w DNS niczego nie dowodzi – każdy mógłby opublikować cudze logo w łudząco podobnej domenie, która przechodzi DMARC. Dlatego najwięksi operatorzy pokazują tylko logo poparte certyfikatem znaku: certyfikatem, w którym urząd certyfikacji potwierdza, że Twoja organizacja ma prawo używać tego logo. Są dwa rodzaje:

Oba certyfikaty wydaje niewielka grupa urzędów certyfikacji, oba są płatne i trzeba je odnawiać. Jeśli logo nie jest jeszcze zarejestrowanym znakiem towarowym, CMC to szybsza droga – Google zaznacza, że rejestracja znaku może trwać od 6 do 12 miesięcy. Zanim złożysz wniosek, sprawdź u wystawcy, rejestracje z jakich urzędów (np. UPRP, EUIPO) akceptuje.

Gdzie widać logo

Obsługa zależy od operatora skrzynki, a nie od nadawcy, i lista się zmienia. Według zestawienia BIMI Group (ostatnia aktualizacja: maj 2025) BIMI obsługują m.in. Gmail, Apple Mail, Yahoo, Fastmail, Zoho Mail, La Poste, Comcast oraz – co ważne dla polskich odbiorców – Onet Poczta. Outlook.com Microsoftu nie figuruje na tej liście.

• Gmail wymaga VMC lub CMC, a znaczek weryfikacji pokazuje tylko przy VMC.
• Apple Mail (od iOS 16 i macOS Ventura) wymaga VMC – tak podaje FAQ BIMI Group.
• Yahoo może pokazać logo bez certyfikatu nadawcom masowym z dobrą reputacją i egzekwującą polityką DMARC.

Nawet gdy wszystko jest gotowe, operatorzy sami decydują, czy wyświetlić logo, i mogą brać pod uwagę reputację oraz wolumen nadawcy. Poprawna konfiguracja sprawia, że logo może się pojawić – nie gwarantuje tego.

Kolejność wdrożenia

1. Zadbaj o to, żeby SPF i DKIM dawały wynik pozytywny i były wyrównane dla każdej usługi wysyłającej z Twojej domeny.
2. Przestaw DMARC na p=quarantine lub p=reject bez pct poniżej 100 i obserwuj raporty.
3. Przygotuj logo w formacie SVG Tiny PS i opublikuj je pod adresem HTTPS.
4. Jeśli zależy Ci na logo w Gmailu lub Apple Mail, uzyskaj certyfikat VMC lub CMC i opublikuj plik PEM pod adresem HTTPS.
5. Opublikuj rekord TXT default._bimi i sprawdź go.

Narzędzie do sprawdzania domeny odczytuje rekord BIMI, pokazuje adres logo, informuje o braku certyfikatu i ostrzega, gdy polityka DMARC jest za słaba, żeby BIMI zadziałało. BIMI jest tam raportowane, ale nie wpływa na ocenę. W AnyMail BIMI to wyłącznie kwestia Twojego DNS i serwera WWW: Twoja poczta jest podpisywana DKIM Twoją własną domeną, więc może przejść wyrównaną weryfikację DMARC, od której zależy BIMI.