Implementera BIMI med VMC och CMC

Du har förmodligen lagt märke till en varumärkeslogotyp bredvid ett e-postmeddelande i Gmail innan du ens öppnar det. Det är BIMI i praktiken. Brand Indicators for Message Identification (BIMI) är en e-poststandard som låter organisationer visa en verifierad logotyp bredvid sina autentiserade e-postmeddelanden i stödda inkorgar. Mottagare får en visuell signal om att meddelandet verkligen kommer från det varumärket, innan de öppnar det.

För säkerhetsteam spelar detta roll utöver varumärkesbyggande. Nätfiskeattacker lyckas delvis för att förfalskade avsändarnamn ser identiska ut med legitima namn. BIMI kopplar en verifierad logotyp till den avsändande domänen, och för organisationer som använder ett verifierat varumärkescertifikat lägger Gmail till en blå bockmarkering som mottagarna kan känna igen som en tredjepartsförtroendesignal. Den här guiden går igenom hela implementeringsprocessen, från att förstå dina certifikatalternativ till att publicera din DNS-post och testa resultatet.

Snabbt svar: Hur implementerar man BIMI med VMC eller CMC?

BIMI-implementeringen följer fem sekventiella steg: tillämpa DMARC vid p=reject med pct=100 ; förbered en SVG Tiny PS- logotyp som lagras på en stabil HTTPS-URL; ansök om en VMC (registrerat varumärke krävs) eller CMC (12 månaders kontinuerlig logotypanvändning krävs); samla PEM-filen i kedjeordning och lagra den på HTTPS; publicera BIMI DNS TXT-posten vid default._bimi.[domain] . Varje fel är tyst.

Key Takeaways

• BIMI är en sekventiell process i fem steg där varje steg är beroende av det föregående och varje fel är tyst. Inget fel skickas till domänägaren när logotypen inte visas. Det enda sättet att upptäcka fel är proaktiv validering med hjälp av en BIMI-validerare, nätverkstrafikövervakning och DMARC-aggregatrapportanalys.
• DMARC måste tillämpas vid p=quarantine eller p=reject med pct=100 innan BIMI aktiveras i Gmail. En DMARC-policy vid p=none, eller med pct under 100, kvalificerar inte. Tredjepartsavsändare (marknadsföringsplattformar, supportverktyg, HR-system) måste alla vara DKIM-signerade och DMARC-anpassade innan tillämpningen höjs till pct=100.
• VMC kräver ett registrerat varumärke hos ett erkänt IP-kontor (USPTO, EUIPO, UK IPO) och aktiverar Gmail-varumärkesavatar och den blå verifierade bocken plus stöd för Apple Mail. CMC kräver 12 månaders kontinuerlig offentlig logotypanvändning verifierad via webbarkivposter och tillåter endast visning av Gmail-varumärkesavatar. Båda certifikaten har en giltighetsgräns på 397 dagar och samma krav på hosting och DNS.
• En URIports-analys från 2025 visade att 53.6 procent av publicerade BIMI-poster innehåller minst ett fel som förhindrar visning av logotyp. De vanligaste felkällorna är felaktigt SVG-format (inte SVG Tiny PS), ofullständiga eller felaktigt ordnade PEM-kedjor, DMARC som inte är på pct=100 och DNS-spridningstidpunkt.
• DigiCert Trust Pulse Survey (juli 2025) visade att 45 procent av företagen upplevde certifikatrelaterade driftstopp under föregående år. Ett BIMI-certifikat som löper ut efter 397 dagar medför omedelbar och tyst borttagning av logotypen från alla inkorgar som stöds, utan att någon avisering skickas till domänägaren eller någon teammedlem.

Vem borde bry sig om BIMI-implementering

BIMI-implementering berör alla team som ansvarar för e-postsäkerhet, certifikatstyrning, varumärkestillgångar och DNS-infrastruktur. En ändring av ett team utan att meddela de andra kan orsaka tysta skador på BIMI, och felet är osynligt tills någon manuellt kontrollerar om logotypen fortfarande visas.

Roll	Varför det gäller	Åtgärdsobjekt
PKI- och certifikatteam	Äg VMC- eller CMC-certifikatlivscykeln: val av CA, koordinering av validering av varumärkes- eller logotypanvändning, HTTPS-hosting av PEM-filen, PEM-kedjemontering i rätt ordning (entitet, mellanliggande, rot) och spårning av förnyelse mot 397-dagars utgångsdatum; ett certifikatutgångsdatum tar bort varumärkeslogotypen omedelbart och tyst; BIMI-certifikatet hör hemma i företagets certifikatinventarie tillsammans med TLS, kodsignering och klientautentiseringscertifikat	Lägg till VMC- eller CMC-certifikatet till CertSecure-hanterare inventering med förnyelseaviseringar 90, 60 och 30 dagar före utgångsdatum; bekräfta att PEM-filens webbadress är tillgänglig via HTTPS från externa nätverk; verifiera kedjeordningen (enhet först, mellanliggande enheter sedan, rot sist) innan BIMI DNS-posten publiceras
E-postsäkerhetsteam	Egen DMARC-policytillämpning, DKIM-nyckelrotation och övervakning av avsändarjustering; BIMI kräver DMARC vid p=karantän eller p=avvisa med pct=100 innan det aktiveras; en DKIM-nyckelrotation som bryter DMARC-justeringen, eller en ny tredjepartsavsändare som läggs till utan DKIM-signering, stör BIMI-visningen för den e-postströmmen i tysthet; NIST SP 800-177 Rev. 1 (Trustworthy Email) är den federala referensen för SPF, DKIM och DMARC som grunder för e-postautentisering.	Bekräfta att DMARC-tillämpningen är pct=100 innan BIMI DNS-posten publiceras; granska DMARC-aggregerade rapporter varje vecka för att identifiera nya avsändare som dyker upp i utgående e-post som inte är DKIM-signerade eller anpassade; dokumentera DKIM-rotationsprocedurer som kräver meddelanden till e-postsäkerhetsteamet innan ändringar tillämpas.
Varumärkes- och marknadsföringsteam	Äga SVG-logotypen och formatera efterlevnaden av BIMI SVG Tiny PS-kraven; uppdatering av varumärkeslogotypen utan att skicka den till CA för omvalidering gör att postlådeleverantören avvisar BIMI-posten direkt eftersom certifikatet inte längre matchar den värdbaserade logotypen; tredjepartsmarknadsföringsavsändare med hög volym måste vara DKIM-signerade och DMARC-anpassade.	Upprätta en process för ändringsmeddelanden som kräver att varumärkesteamet meddelar PKI- och e-postsäkerhetsteam innan någon SVG-logotypuppdatering distribueras; bekräfta att alla avsändare på marknadsföringsplattformen listas i avsändarregistret och är DKIM-signerade och anpassade; validera SVG-filen mot SVG Tiny PS-kraven innan den skickas till CA.
Moln- och DevSecOps-team	Egen DNS-posthantering, HTTPS-infrastruktur för SVG- och PEM-hosting och distributionspipelines; en DNS-ändring som tar bort eller ändrar BIMI TXT-posten, eller en ändring av hostingmiljön som gör SVG- eller PEM-URL:en oåtkomlig, bryter BIMI tyst; underdomäner som används som Från-adresser kräver sina egna BIMI DNS TXT-poster	Lägg till BIMI DNS TXT-postvalidering och kontroller av tillgänglighet för SVG/PEM-URL till validering av infrastruktur som kod och distributionspipelines; bekräfta BIMI-posttäckning för alla underdomäner som används i Från-adresser; inkludera BIMI-stackvalidering i röktester efter distribution för alla DNS- eller värdmiljöändringar.
CISO: er	BIMI är både en mekanism för varumärkesförtroende och en säkerhetsfunktion: fullständig DMARC-tillämpning vid pct=100 som krävs för BIMI är samma tillämpningsposition som maximerar skyddet mot domänförfalskning; 53.6 procent av publicerade BIMI-poster innehåller fel som förhindrar logotypvisning (URIports, 2025), vilket innebär att de flesta BIMI-implementeringar inte levererar den avsedda förtroendesignalen; den certifikatlivscykeldisciplin som krävs för BIMI avslöjar också luckor i det bredare certifikatstyrningsprogrammet.	Kräv att BIMI-implementering behandlas som ett tvärfunktionellt program med namngivna ägare för varje komponent (certifikat, DNS, SVG, DMARC), inte ett engångsprojekt; finansiera CLM-verktyg som täcker BIMI-certifikat tillsammans med den bredare certifikattillgången; obligatorisk kvartalsvis validering av BIMI-stackar som en del av granskningen av e-postsäkerhet

Checklista för BIMI-implementering: Problem, affärspåverkan, rekommenderad åtgärd och ägare

Använd den här checklistan för att identifiera vilka implementeringsluckor som gäller för din miljö och tilldela ägarskap för reparation innan ett tyst fel tar bort varumärkeslogotypen från inkorgar som stöds.

Utgåva	Business Impact	Rekommenderad åtgärd	Ägare
DMARC inte på procent=100	BIMI aktiveras inte i Gmail eller andra leverantörer som kräver fullständig tillämpning; logotyp saknas eller är inkonsekvent för all e-post från domänen; delvis tillämpning (procent under 100) kvalificerar inte även om p=reject är inställt.	Slutför DMARC-upptrappningen till pct=100 med hjälp av aggregerade DMARC-rapportdata för att identifiera och justera alla feljusterade avsändare innan pct ökas; publicera BIMI DNS-posten endast efter att pct=100 har varit stabil i minst 30 dagar.	E-postsäkerhetsteamet
Tredjepartsavsändaren är inte DKIM-signerad eller DMARC-anpassad	E-post från den avsändarströmmen misslyckas med DMARC-justering; BIMI-logotyp saknas för all e-post från den källan; leveransbarheten kan påverkas om DMARC-policyn är p=reject	Granska alla tredjepartsavsändare från DMARC-aggregatrapporter; konfigurera DKIM-signering för varje avsändare eller flytta till en underdomän med egna DMARC- och BIMI-poster; höj inte procentandelen till 100 förrän alla avsändare med hög volym är justerade.	E-postsäkerhetsteamet + marknadsföringsteamet
SVG-filen överensstämmer inte med SVG Tiny PS-profilen	CA avvisar certifikatansökan utan detaljerad förklaring; BIMI-posten kan inte publiceras förrän en kompatibel SVG har skickats in; omarbetningsfördröjning på en till fyra veckor beroende på CA:s handläggningstid	Konvertera SVG-filen till SVG Tiny PS-profilen innan du påbörjar certifikatansökan; validera den konverterade filen med BIMI-gruppens SVG-validerare innan du skickar in den; bekräfta att pixeldimensionerna är absoluta värden med minst 96×96 pixlar.	Varumärkesteamet + PKI-teamet
PEM-kedjan monterad i fel ordning	Postlådeleverantörer avvisar tyst BIMI-posten eftersom valideringen av certifikatkedjan misslyckas; logotypen visas inte; inget fel skickas till domänägaren	Montera PEM-filen i rätt ordning: entitetscertifikat först, sedan mellanliggande CA-certifikat i ordning, sedan rot-CA-certifikat sist; verifiera kedjan med ett SSL/TLS-kedjeverifieringsverktyg innan värdskap; värdskap igen och testa igen efter eventuell certifikatförnyelse.	PKI-teamet
VMC- eller CMC-certifikat spåras inte i CLM-plattformen	Certifikatet upphör att gälla efter 397 dagar utan förnyelseavisering; varumärkeslogotypen tas bort omedelbart och i tysthet från alla inkorgar som stöds; ingen avisering skickas till domänägaren eller något team.	Lägg till VMC- eller CMC-certifikatet i CertSecure Manager med förnyelseaviseringar 90, 60 och 30 dagar före utgångsdatumet på 397 dagar; bekräfta att PEM-filens URL och SVG-filens URL övervakas för HTTPS-tillgänglighet tillsammans med certifikatets utgångsdatum.	PKI-teamet
SVG-logotypen uppdaterad utan CA-omvalidering	Certifikatet matchar inte längre den värdbaserade logotypen; postlådeleverantörer avvisar BIMI-posten direkt; logotypen tas bort i tysthet från alla inkorgar som stöds.	Upprätta en ändringskontrollprocess som kräver omvalidering av CA innan någon SVG-logotypuppdatering publiceras; dokumentera tidslinjen för omvalidering (en till fyra veckor) så att varumärkesuppdateringar planeras med tillräcklig ledtid.	Varumärkesteamet + PKI-teamet
BIMI-post saknas för en underdomän som används i Från-rubriken	BIMI-poster ärvs inte av underdomäner; e-post som skickas från en underdomän utan BIMI-post visar ingen logotyp i inkorgar som stöds oavsett den överordnade domänens BIMI-konfiguration.	Granska alla underdomäner som används i Från-adresser; publicera separata BIMI DNS TXT-poster, VMC- eller CMC-certifikat och DMARC-tillämpning för varje kvalificerad underdomän.	Moln-/DevSecOps-teamet + e-postsäkerhetsteamet
Ingen kvartalsvis BIMI-stackvalideringsprocess	DNS-ändringar, logotypuppdateringar, hostingmigreringar, certifikatförnyelser och DMARC-drift ackumuleras mellan granskningar; fel upptäcks endast när någon märker att logotypen saknas.	Schemalägg kvartalsvis fullständig BIMI-stackvalidering med en BIMI-validerare som täcker DNS-post, SVG-värd-URL, PEM-värd-URL och DMARC-tillämpningsstatus; inkludera i den kvartalsvisa granskningen av e-postsäkerhet	E-postsäkerhetsteamet + PKI-teamet

Vad är VMC och CMC?

För att visa en verifierad logotyp i Gmail behöver du en av två typer av varumärkescertifikat. Båda fungerar som digitala bevis på att din organisation äger logotypen och har behörighet att visa den bredvid e-postmeddelanden som skickas från din domän.

Ett Verified Mark Certificate (VMC) är den ursprungliga certifikattypen. Det kräver ett varumärke registrerat hos en erkänd immaterialrättsmyndighet, såsom USPTO i USA eller EUIPO i Europeiska unionen. I Gmail möjliggör en VMC både varumärkeslogotypen och den blå verifierade bocken. Apple Mail kräver också en VMC för logotypvisning.

Ett Common Mark Certificate (CMC) är det nyare alternativet, som tillkännagavs av AuthIndicators Working Group i september 2024. Det tar bort varumärkeskravet men ersätter det med bevis på att din logotyp har använts kontinuerligt offentligt på din domän i minst 12 månader. Certifikatutfärdare verifierar detta med hjälp av webbarkivposter. I Gmail ger en CMC dig varumärkeslogotypen utan den blå bocken. Apple Mail accepterar för närvarande inte CMC:er.

Snabb jämförelse

Leverans	CMV	CMC
Varumärke krävs	Ja	Nej
Bevis på logotypbehörighet	Varumärkesregistrering hos IPO	12 månaders kontinuerlig offentlig användning
Gmail blå bockmarkering	Ja	Nej, endast logotypavatar
Apple Mail-support	Ja	Nej (från och med 2026)
Yahoo Mail	Ja	Ja
Årlig kostnad (ungefär, från mitten av 2026)	749 till 1 688 USD + varumärkesavgift	USD 650 till 1,100
Valideringstid	2 4 veckor till	1 3 veckor till
Certifikatets giltighetstid	397 dagar max	397 dagar max

En praktisk anmärkning: om din varumärkesregistrering fortfarande pågår kan du börja med en CMC och uppgradera till en VMC när varumärket har bekräftats. Båda använder samma DNS-postformat, samma hostingkrav och samma PEM-filstruktur, så övergången är mestadels ett certifikatbyte snarare än en fullständig ombyggnad.

Hur man implementerar BIMI

Varje steg i den här processen är beroende av det föregående. Ett mellanrum i något skede orsakar ett tyst fel där logotypen helt enkelt inte visas och inget fel skickas till domänägaren. Det enda tillförlitliga tillvägagångssättet är att slutföra varje steg helt innan man går vidare till nästa.

Steg 1: Konfigurera och tillämpa DMARC

DMARC är grunden som BIMI vilar på. Utan full tillämpning kommer BIMI inte att aktiveras i Gmail eller någon annan större leverantör. Börja med att bekräfta att SPF och DKIM är konfigurerade och skickas för varje system som skickar e-post från din domän. SPF auktoriserar de IP-adresser som tillåts skicka för din domäns räkning. DKIM lägger till en kryptografisk signatur till varje utgående meddelande så att mottagande servrar kan verifiera att det inte har ändrats. Båda måste vara i linje med domänen som visas i e-postmeddelandets Från-rubriken.

När SPF och DKIM är på plats, publicera en DMARC TXT-post med början i övervakningsläge (p=none). I en DMARC-post är p-taggen policyn: den anger för mottagande servrar vad de ska göra med e-post som misslyckas med autentisering. Den har tre värden: p=none övervakar bara och vidtar inga åtgärder, p=quarantine skickar misslyckade e-postmeddelanden till skräppostmappen och p=reject blockerar misslyckade e-postmeddelanden direkt. pct-taggen är andelen misslyckade e-postmeddelanden som policyn tillämpas på, där pct=100 täcker varje meddelande. Detta låter dig samla in aggregerade rapporter som visar vilka avsändare som klarar eller misslyckas med autentisering, utan att påverka e-postleveransen.

En gradvis utrullning är viktig eftersom den visar exakt vem som skickar e-post för din domän innan du börjar blockera något. Att gå direkt till p=reject är riskabelt. Alla legitima avsändare som ännu inte är justerade, till exempel ett marknadsföringsverktyg eller en intern app, kommer att få sin e-post tyst avvisad, och du kanske inte märker det förrän kunderna gör det.

Att granska de aggregerade rapporterna i varje steg är det som förhindrar detta, eftersom rapporterna avslöjar varje avsändarkälla och om den klarar SPF- och DKIM-justeringen. Först efter att varje legitim avsändare har klarat den bör du flytta policyn från p=none till p=quarantine och sedan till p=reject. Viktigt är att du också måste ställa in pct=100, vilket tillämpar policyn på all utgående e-post, inte bara en procentandel. Gmail kräver pct=100 innan den kan bearbeta BIMI. En policy på p=quarantine med pct=25 kommer inte att kvalificera, även om det tekniskt sett är en verkställighetspolicy.

v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]

NIST Special Publication 800-177 Rev. 1 , Trustworthy Email, är den federala referensen för SPF, DKIM och DMARC som grundläggande mekanismer för pålitlig e-postinfrastruktur.

Steg 2: Förbered en BIMI-kompatibel SVG-logotyp

Logotypfilen måste följa SVG Tiny Portable and Secure-profilen, vanligtvis kallad SVG Tiny PS. Detta är en begränsad version av SVG-standarden som förbjuder JavaScript, externa filreferenser och vissa renderingsfunktioner som postlådeleverantörer inte kan bearbeta på ett säkert sätt. En standard-SVG som exporteras från ett designverktyg måste nästan alltid konverteras till den här profilen innan den klarar BIMI-valideringen.

Gmail kräver att bilddimensionerna anges som absoluta pixelvärden med en minsta storlek på 96 gånger 96 pixlar. Relativa värden som width="100%" kommer att orsaka avvisning även om allt annat är korrekt konfigurerat. Logotypen ska vara fyrkantig och centrerad i bildramen. När filen uppfyller specifikationen, värd den på en stabil HTTPS-URL. Postlådeleverantörer hämtar den här filen varje gång de validerar en BIMI-post, så värdplatsen bör behandlas som produktionsinfrastruktur med konsekvent drifttid.

Steg 3: Ansök om ditt certifikat

Med DMARC upprätthållet och din logotyp värdad är du redo att ansöka om en VMC eller CMC från en BIMI-erkänd certifikatutfärdare (CA) . Om du ansöker om en VMC måste du skicka in din SVG-logotypfil och bevis på varumärkesregistrering från relevant immaterialrättsmyndighet. Certifikatutfärdaren kommer att verifiera din organisationsidentitet, bekräfta domänkontroll och validera varumärket mot det officiella registret. Förvänta dig att processen tar två till fyra veckor, där varumärkesverifiering vanligtvis är det längsta steget.

För en CMC skickar du in din SVG-logotyp och bevis på att den har visats kontinuerligt på din domän i minst 12 månader. Certifikatutfärdare använder webbarkivposter för att verifiera detta, så logotypen måste kunna hittas i offentligt tillgängliga arkivbilder som går tillbaka minst 12 månader från ansökningsdatumet. Utfärdande av CMC tar vanligtvis en till tre veckor.

När certifikatet utfärdas får du en PEM-fil som innehåller ditt entitetscertifikat. Du måste sedan lägga till mellanliggande CA-certifikat och rot-CA-certifikatet till den här filen, i exakt den ordningen: entitetscertifikat först, mellanliggande certifikat därefter, rot sist. En ofullständig eller felaktigt ordnad kedja är en av de vanligaste orsakerna till tysta BIMI-fel i certifikatvalideringsstadiet.

Steg 4: Värd för PEM-filen och publicera BIMI DNS-posten

Ladda upp hela PEM-filen till en offentlig HTTPS-slutpunkt. URL:en måste vara stabil och tillförlitligt nåbar för externa servrar, eftersom postlådeleverantörer hämtar den som en del av varje BIMI-verifiering. Behandla denna URL på samma sätt som du skulle behandla en TLS-certifikatslutpunkt för produktion. När filen är värd, publicera din BIMI TXT-post i DNS:

Värd: default._bimi.dindomän.com Posttyp: TXT v=BIMI1; l=https://dindomän.com/logotyp.svg; a=https://dindomän.com/certifikat.pem

Fältet l= är URL:en till din värdbaserade SVG-logotyp. Fältet a= är URL:en till din värdbaserade PEM-certifikatfil. Båda måste använda HTTPS. Enligt Googles officiella BIMI-dokumentation kan det ta upp till 48 timmar innan DNS-ändringar har spridits helt.

Steg 5: Validera och testa

Efter DNS-spridning, använd en BIMI-validerare för att bekräfta att TXT-posten matchas korrekt, SVG uppfyller Tiny PS-specifikationen, PEM-kedjan är i rätt ordning och att DMARC tillämpas korrekt. Några gratisverktyg täcker olika delar av denna kontroll. BIMI-inspektören från BIMI-gruppen kontrollerar att din BIMI-post är korrekt utformad och att DMARC tillämpas. URIports BIMI-validerare inspekterar DNS-posten, SVG-logotypen och certifikatet tillsammans. Med Google Admin Toolbox kan du öppna en riktig meddelanderubrik och se SPF-, DKIM- och DMARC-resultaten som Gmail faktiskt tillämpat. En DMARC-analysator hjälper dig att läsa dina aggregerade rapporter och bekräfta att varje avsändare är i linje.

Skicka sedan ett testmejl från din domän till ett Gmail-konto och kontrollera om logotypen visas. Om logotypen inte visas, börja med att granska DMARC-aggregerade rapporter för justeringsfel, verifiera PEM-kedjeordningen och bekräfta att båda värdbaserade fil-URL:erna är offentligt tillgängliga via HTTPS. Ge installationen upp till 48 timmar efter DNS-spridning innan du behandlar en saknad logotyp som ett bekräftat fel.

Genom att slutföra alla fem stegen får logotypen att fungera, men en fungerande konfiguration är inte permanent. Samma kedja av beroenden som gör att BIMI lyckas gör den också ömtålig, och de flesta fel är tysta. Logotypen kan helt enkelt sluta visas utan att ett felmeddelande skickas till dig. Misstagen nedan är de som oftast förstör en annars korrekt konfiguration, både under den första utrullningen och månader senare.

Vanliga misstag att undvika

• Om du anger procent till under 100 i DMARC förhindras att BIMI aktiveras i Gmail, även om p=reject är inställt. Organisationer som gradvis ökar DMARC-tillämpningen måste slutföra hela upptrappningen till procent=100 innan BIMI aktiveras.
• Tredjepartsplattformar för e-post, såsom marknadsföringsautomationsverktyg, HR-system och kundsupportprogram, måste alla vara DKIM-signerade och DMARC-anpassade. En enda feljusterad avsändare med stora volymer stör BIMI-visningen för hela e-postströmmen.
• Om du skickar in en standard SVG-fil istället för en som följer SVG Tiny PS-profilen kommer certifikatutfärdaren att avvisa den. Verifiera logotypprofilen innan du påbörjar certifikatansökan.
• En ofullständig eller felaktigt ordnad PEM-kedja orsakar fel vid tyst certifikatvalidering. Verifiera alltid monteringsordningen efter att du har skapat filen: entitetscertifikat, sedan mellanliggande och sedan rot.
• När certifikatet löper ut tas logotypen bort omedelbart utan respitperiod. Ställ in påminnelser om förnyelse 90, 60 och 30 dagar före utgångsdatumet och behandla detta som vilken förnyelse av produktionscertifikat som helst.
• Underdomäner ärver inte den överordnade domänens BIMI-post. Om din organisation skickar e-post från en underdomän, publicera en separat BIMI TXT-post för den underdomänen.
• Alla certifikatutfärdare accepteras inte av alla e-postleverantörer. Bekräfta att din valda CA finns på listan över godkända leverantörer för dina viktigaste målgrupper innan du köper.

Det som dessa fallgropar har gemensamt är att de behandlar BIMI som en engångs-DNS-ändring snarare än en löpande certifikat- och PKI-infrastruktur . Att undvika dem på ett tillförlitligt sätt kräver samma disciplin som du tillämpar på alla kryptografiska produktionstillgångar, vilket är precis där dedikerat PKI-stöd gör skillnaden. För fullständig insyn i BIMI-certifikatet tillsammans med din bredare certifikattillgång tillhandahåller CBOM Secure den kryptografiska inventeringen som bekräftar att alla certifikattillgångar över sändande domäner spåras och övervakas.

Hur krypteringskonsulting kan hjälpa

Krypteringskonsulttjänster erbjuder den PKI-expertis som ett pålitligt BIMI-program är beroende av. Våra PKI-tjänster omfattar utvärdering, design och implementering av certifikatinfrastrukturen bakom DKIM-signering och VMC- eller CMC-distribution, inklusive HSM- integration för skydd av privata nycklar och val av certifikatutfärdare. Om ni hellre inte vill köra denna infrastruktur internt kan vår PKI as a Service vara värd för och hantera CA och HSM:er som skyddar era DKIM- och mark-certificate-nycklar, medan äganderätten till CA och nycklarna förblir hos er.

CertSecure Manager , vår plattform för hantering av certifikatlivscykeln, ger dig en enda, automatiserad vy över alla certifikat i din miljö, från TLS och kodsignering till klient-, enhets- och BIMI-certifikat. Den är leverantörsneutral, kopplar samman offentliga och privata certifikatutfärdare i en enda vy, automatiserar identifiering, registrering och förnyelse, och genererar revisions- och högriskcertifikatrapporter som förhindrar de utgångsrelaterade avbrott som de flesta organisationer upptäcker först i efterhand. I takt med att införandet av post-kvantkryptografi fortskrider efter publiceringen av NIST FIPS 203, 204 och 205 (13 augusti 2024), kommer certifikatinfrastrukturen som stöder BIMI och den bredare PKI-egendomen för företag att behöva planera migrering till post-kvantalgoritmer. PQC Readiness- bedömningstjänster och PQC Center of Excellence hjälper organisationer att planera hur algoritmövergångar påverkar deras certifikategendom, inklusive BIMI-certifikat utfärdade av Mark Verifying Authorities.

Se vår video om att förstå digitala certifikat för att lära dig mer om certifikatinfrastrukturen som driver BIMI, PKI och e-postsäkerhet för företag.

Slutsats

BIMI är en av de mer praktiska vinsterna som finns tillgängliga inom e-postsäkerhet för företag just nu. En verifierad logotyp i inkorgen och en blå bock för VMC-sändare i Gmail ger mottagarna en tydlig och omedelbar förtroendesignal innan de öppnar meddelandet. Implementeringsprocessen är metodisk: tillämpa DMARC fullt ut vid p=reject med pct=100, förbered din logotyp i SVG Tiny PS-format, ansök om rätt certifikattyp från en auktoriserad CA, sätt ihop PEM i rätt kedjeordning, värda båda filerna över HTTPS och publicera BIMI DNS-posten.

Varje steg beror på det föregående, och varje fel är tyst. De organisationer som upprätthåller BIMI på ett tillförlitligt sätt är de som behandlar certifikatet och hostinginfrastrukturen med samma disciplin som de tillämpar på alla andra produktionskryptografiska tillgångar. Om ditt team behöver stöd med någon del av certifikathanteringen , PKI-designen eller DMARC-tillämpningsprocessen är Encryption Consulting ett bra ställe att börja.

Vanliga frågor om partihandel med mat och dryck

Vad är den viktigaste lärdomen från att implementera BIMI med VMC och CMC?

BIMI-implementering är en sekventiell process i fem steg där varje steg är beroende av det föregående och varje fel är tyst. Stegen är: tillämpa DMARC vid p=reject med pct=100; förbered en SVG-logotyp som överensstämmer med SVG Tiny PS som värdas på en stabil HTTPS-URL; ansök om en VMC (registrerat varumärke krävs) eller CMC (12 månaders kontinuerlig logotypanvändning krävs); samla PEM-filen i kedjeordning (entitet först, sedan mellanliggande, sedan rot) och värda den på HTTPS; och publicera BIMI DNS TXT-posten. En URIports-analys från 2025 visade att 53.6 procent av publicerade BIMI-poster innehåller minst ett fel som förhindrar logotypvisning.

Varför är BIMI-implementering viktigt för PKI-team på stora företag?

BIMI lägger till ett VMC- eller CMC-certifikat till företagets certifikatinnehav, vilket löper ut tyst efter 397 dagar utan avisering. När certifikatet löper ut tas varumärkeslogotypen omedelbart bort från alla inkorgar som stöds utan respitperiod. DigiCert Trust Pulse Survey (juli 2025) fann att 45 procent av företagen upplevde certifikatrelaterade driftstopp under föregående år; ett BIMI-certifikat som löper ut ger samma tysta felmönster. BIMI-implementering tvingar också PKI-team att validera DKIM-nyckelhantering och DMARC-justering över hela den utgående e-postinnehållet, vilket ofta avslöjar tredjepartsavsändare som verkar utanför den hanterade e-postinfrastrukturen.

Vilka risker ökar om BIMI-implementeringen hanteras manuellt?

Manuell BIMI-hantering introducerar fyra specifika risker: certifikatutgång utan förnyelse (giltighetsfönstret på 397 dagar kräver proaktiv förnyelsespårning); fel i PEM-kedjesammansättningen (en felaktigt ordnad PEM orsakar tyst certifikatvalideringsfel); avvikelse från tredjepartsavsändare (nya avsändare som läggs till utan DKIM-signering bryter DMARC-justeringen och BIMI visas tyst); och luckor i underdomänstäckning (underdomäner som används som Från-adresser kräver sina egna BIMI-poster, vilket manuella inventeringar regelbundet missar).

Vilka team bör ansvara för implementeringen och den löpande styrningen av BIMI?

BIMI-styrning måste distribueras över fyra team: PKI- och certifikatteam äger VMC- eller CMC-certifikatlivscykeln, inklusive val av CA, PEM-kedjemontering, HTTPS-hosting och spårning av förnyelser; e-postsäkerhetsteam äger DMARC-policytillämpning, DKIM-nyckelrotation och övervakning av avsändarjustering; varumärkes- och marknadsföringsteam äger SVG-logotyptillgången och SVG Tiny PS-formatefterlevnad; och moln- eller DevSecOps-team äger DNS-posthantering och HTTPS-infrastruktur för logotyp- och PEM-hosting. Varje ändring av ett team utan att meddela de andra kan förstöra BIMI i det tysta.

Hur kopplas BIMI till hantering av certifikatlivscykeln?

VMC- eller CMC-certifikatet är ett certifikat som löper ut, måste förnyas och spåras i företagets certifikatinventarium tillsammans med TLS-, kodsignerings- och klientautentiseringscertifikat. CertSecure Manager upptäcker och spårar BIMI-certifikat tillsammans med alla andra certifikat i certifikatregistret, ställer in förnyelseaviseringar vid konfigurerbara tröskelvärden före 397-dagars utgång och flaggar tillgänglighetsproblem för SVG- eller PEM-värdslutpunkter. Utan CLM-täckning blir BIMI-certifikat en oövervakad tillgång som tar bort varumärkesförtroendesignaler vid utgång utan varning.

Hur bör organisationer mäta framgången i sin BIMI-implementering?

Viktiga mätvärden: BIMI-visningsfrekvens (procentandel av utgående e-postvolym som framgångsrikt visar varumärkeslogotypen hos stödda leverantörer, mätbart via DMARC-aggregatrapportanalys); DMARC-tillämpningstäckning (100 procent av avsändande domäner vid p=karantän eller p=avvisad med pct=100); fullständig avsändarjustering (alla tredjepartsavsändare DKIM-signerade och justerade, verifierade kvartalsvis); ledtid för certifikatförnyelse (VMC- eller CMC-förnyelse initierad minst 30 dagar före 397-dagars utgång, med förnyelseaviseringar inställda på 90, 60 och 30 dagar); och noll oplanerade logotypborttagningar från certifikatets utgångsdatum.

Vad bör granskas eller övervakas regelbundet vid en BIMI-implementering?

Övervaka kontinuerligt: ​​utgångsdatum för VMC- eller CMC-certifikat med förnyelseaviseringar efter 90, 60 och 30 dagar; giltighet för BIMI DNS TXT-poster och HTTPS-tillgänglighet för värdbaserade SVG- och PEM-filer; och aggregerade DMARC-rapporter för nya avsändare som inte är DKIM-signerade eller -justerade. Granska kvartalsvis: validera hela BIMI-stacken med en BIMI-validerare efter eventuell DNS-ändring, logotypuppdatering eller värdmigrering; granska avsändarinventeringen mot aggregerade DMARC-rapporter; och bekräfta underdomänstäckning för alla underdomäner som används i Från-adresser.

Hur påverkar BIMI-implementering moln-, hybrid- eller multidomän-e-postmiljöer?

I moln- och hybridmiljöer kommer utgående e-post från flera källor, inklusive den primära e-postplattformen, tredjepartsmarknadsföringsplattformar, supportärendesystem, HR-verktyg och leverantörer av transaktionell e-post. Var och en måste vara DKIM-signerad och DMARC-anpassad. I miljöer med flera domäner kräver varje domän sin egen BIMI DNS TXT-post, sitt eget VMC- eller CMC-certifikat och sin egen DMARC-tillämpning vid pct=100. BIMI-poster ärvs inte av underdomäner. CBOM Secure tillhandahåller den kryptografiska inventeringen som bekräftar att alla BIMI-certifikattillgångar över avsändande domäner spåras.

Vilka vanliga misstag bör team undvika när de implementerar BIMI?

De vanligaste misstagen: att sätta pct under 100 i DMARC (BIMI aktiveras inte även om p=reject är inställt); att skicka in en standard SVG istället för SVG Tiny PS (CA-rejection); att sätta ihop PEM-kedjan i fel ordning (entiteten måste komma först, sedan mellanliggande, sedan rot; reversering orsakar tyst fel); att behandla BIMI som ett engångsprojekt utan att tilldela pågående ägare för certifikatförnyelse, DNS-poster, SVG-tillgångar och DMARC-rapportering; och att inte publicera separata BIMI-poster för underdomäner som används som Från-adresser.

Vad bör uppdateras kvartalsvis för BIMI-styrning?

Kvartalsvis: granska aggregerade DMARC-rapporter för nya tredjepartsavsändare som inte är DKIM-signerade eller -anpassade; bekräfta VMC- eller CMC-certifikatets utgångsdatum och verifiera att förnyelse initieras om det sker inom 90 dagar; validera hela BIMI-stacken med en BIMI-validerare; granska underdomänstäckning för alla nya underdomäner som används som Från-adresser; och kontrollera BIMI-gruppens webbplats och meddelanden från e-postleverantörer för policyändringar. För planering av BIMI-certifikatalgoritmer efter kvantmigrering, kontrollera om Mark Verifying Authorities har publicerat tidslinjer för stöd för postkvantalgoritmer genom PQC Center of Excellence.