So funktioniert’s
Der BIMI-Record ist ein TXT-Record unter default._bimi vor der Domain, etwa default._bimi.example.com mit v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem. l= verweist auf das Logo, a= optional auf ein Markenzertifikat (Verified Mark Certificate, VMC).
Das Logo muss ein quadratisches SVG im Profil SVG Tiny PS sein, per https abrufbar, mit einem title-Element und ohne Skripte, Animationen, eingebettete Rasterbilder oder externe Verweise. Empfohlen sind höchstens 32 KB.
BIMI wirkt nur zusammen mit DMARC: Die Domain braucht p=quarantine oder p=reject für alle Mails, also ohne pct unter 100. Ob das Logo erscheint, entscheidet jeder Postfachanbieter selbst; Gmail und Apple Mail zeigen es nur mit Markenzertifikat.
Entwickelt wird BIMI von der BIMI-Arbeitsgruppe als Entwurf bei der IETF, ein fertiger RFC ist es noch nicht.
Warum gefährlich
Ein fehlender BIMI-Record ist kein Sicherheitsproblem. Ärgerlich ist ein halb funktionierender: Ein Logo, das nach einem Relaunch nicht mehr erreichbar ist, ein SVG im falschen Profil oder eine DMARC-Policy, die auf p=none zurückgedreht wurde, lassen das Logo stillschweigend verschwinden – nach einem bezahlten Markenzertifikat besonders bitter.
Weil BIMI durchgesetztes DMARC voraussetzt, ist ein sichtbares Logo auch ein Zeichen, dass Fälschungen der exakten Domain abgewiesen werden. Gegen ähnlich geschriebene Domains hilft BIMI dagegen nicht.
So vermeidest du es
- Zuerst DMARC auf p=quarantine oder p=reject bringen, für alle Mails und ohne schwächere Subdomain-Policy.
- Das Logo als quadratisches SVG Tiny PS mit title-Element exportieren, ohne Skripte und Rasterbilder, und unter einer festen https-Adresse hosten.
- Für Gmail und Apple Mail ein Markenzertifikat (VMC) beantragen, das eine eingetragene Marke voraussetzt, und es unter a= verlinken.
- Nur einen BIMI-Record unter default._bimi behalten.
- Logo-Adresse und Zertifikat nach jedem Relaunch oder Hosting-Umzug erneut prüfen.
So erkennt DomainWarn es
Der BIMI-Check liest den Record unter default._bimi, prüft die Syntax, lädt Logo und Markenzertifikat und gleicht die DMARC-Policy ab. Ein fehlender Record ist nur ein Hinweis. Fehlt die Logo-URL, ist sie oder die VMC-URL keine https-Adresse, gibt es mehrere BIMI-Records, ist das Logo nicht abrufbar oder kein SVG, ist das Zertifikat nicht erreichbar oder steht DMARC nicht auf quarantine bzw. reject für alle Mails, eröffnet DomainWarn nach zwei Läufen den Incident „BIMI fehlerhaft“. Ein SVG ohne Tiny-PS-Kennzeichnung und ein fehlendes Markenzertifikat sind Hinweise.
Hat eine Subdomain keinen eigenen Record, prüft der Check den der Hauptdomain. Über die Integration „BIMI-Logo hosten“ wandelt DomainWarn ein hochgeladenes Logo in SVG Tiny PS um, stellt es auf einer bimi-Subdomain deiner Domain bereit und hält den TXT-Record beim verbundenen DNS-Anbieter aktuell.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.