BIMI : afficher le logo vérifié d'une marque dans Gmail et au-delà

Comment BIMI fonctionne techniquement

Une fois le domaine en application, la mécanique BIMI repose sur trois pièces :

1. Un enregistrement DNS de type TXT, publié à default._bimi.exemple.fr, de la forme : v=BIMI1; l=https://exemple.fr/logo.svg; a=https://exemple.fr/vmc.pem La balise l= pointe vers le logo ; la balise a= (facultative dans le standard, mais exigée par les grands fournisseurs) pointe vers le certificat.
2. Le logo lui-même, hébergé en HTTPS, dans un format très précis (voir ci-dessous).
3. Un certificat de marque (VMC), qui lie cryptographiquement ce logo à l'identité de son propriétaire. C'est l'objet de son propre article : le certificat VMC pour BIMI.

Quand un fournisseur compatible reçoit un email qui passe DMARC en application, il lit l'enregistrement BIMI, vérifie le certificat, récupère le logo et l'affiche. Tout repose sur la chaîne d'authentification : pas d'alignement, pas d'application, pas de logo.

Le logo : un format exigeant

On ne peut pas fournir n'importe quel fichier. BIMI impose le SVG Tiny Portable/Secure (SVG Tiny PS) — un profil restreint du format SVG, sans script ni élément externe, pensé pour être sûr et rendu de façon identique partout. Le logo doit par ailleurs être carré (il s'affiche dans un cercle ou un carré selon le client), avec de préférence un fond plein plutôt que transparent, et centré pour rester lisible en très petite taille.

En pratique, beaucoup d'organisations découvrent que leur logo vectoriel existant n'est pas conforme et doit être retravaillé par un graphiste ou converti via un outil dédié. Ce n'est pas un blocage, mais c'est une étape à anticiper : un SVG mal profilé sera rejeté par les fournisseurs, et le logo ne s'affichera pas, même avec un enregistrement par ailleurs correct.

Où le logo s'affiche

La prise en charge de BIMI s'est élargie ces dernières années. Les principales boîtes qui affichent les logos BIMI incluent Gmail, Apple Mail (à partir des versions récentes d'iOS et de macOS), Yahoo Mail, ainsi que plusieurs acteurs comme Fastmail ou La Poste. La couverture évolue, mais elle atteint désormais une part majoritaire des destinataires grand public.

Attention toutefois : la plupart de ces fournisseurs — Gmail en tête — exigent un certificat (un VMC) pour afficher le logo. Quelques boîtes plus modestes acceptent un enregistrement sans certificat, mais les inbox qui comptent vraiment veulent la preuve que le logo appartient bien à la marque qui l'affiche. La question « peut-on faire du BIMI sans certificat ? » mérite son propre traitement : BIMI sans VMC, est-ce possible.

Pourquoi ça vaut le coup

Au-delà de l'esthétique, le logo vérifié a des effets concrets. Il renforce la reconnaissance de marque au moment décisif de l'ouverture, il ajoute un signal de confiance qui peut soutenir les taux d'ouverture, et il crée un écart visible avec les usurpateurs : un email frauduleux sans logo, à côté des messages authentiques qui en portent un, paraît immédiatement moins crédible. Pour les secteurs les plus usurpés, ce dernier point est stratégique — c'est le raisonnement développé pour les marques financières dans DMARC pour les banques, transposable à toute marque grand public.

Il y a aussi un argument de gouvernance : viser BIMI dès la conception d'un programme DMARC aide à justifier le travail d'application auprès des parties prenantes qui tiennent à la marque autant qu'à la sécurité. Le logo n'est pas l'objectif, mais il rend l'objectif désirable.

La séquence complète

Pour arriver au logo, l'ordre est immuable :

1. Aligner toutes les sources d'envoi en SPF et DKIM.
2. Monter la politique DMARC jusqu'à p=reject (ou au moins quarantine), en surveillant les rapports.
3. Préparer le logo au format SVG Tiny PS, carré, hébergé en HTTPS.
4. Obtenir un VMC dès lors que Gmail et les grandes boîtes sont visés — voir le certificat VMC.
5. Publier l'enregistrement default._bimi avec l= et a=.

Rien de tout cela ne fonctionne sans l'étape 2 : c'est l'application DMARC qui débloque le reste, et c'est aussi le socle rappelé dans qu'est-ce que DMARC.

Les erreurs qui empêchent le logo de s'afficher

Un enregistrement BIMI publié ne garantit pas un logo visible. Les causes les plus fréquentes d'un logo absent :

• Le domaine n'est pas en application. De loin la première cause : p=none interdit tout logo. La politique effective doit bien être quarantine ou reject.
• Le piège du sous-domaine. Quand le courrier part d'un sous-domaine, la politique de celui-ci doit elle aussi être en application : un sp=none peut annuler l'application précisément là où les messages sont émis.
• Le SVG n'est pas conforme. Un logo qui n'est pas en SVG Tiny PS, non carré, ou contenant des éléments interdits (script, image externe, texte non vectorisé) sera rejeté silencieusement.
• Il manque le certificat. La plupart des grandes boîtes, Gmail en tête, n'afficheront rien sans un VMC valide référencé par a=.
• La propagation DNS. Un enregistrement fraîchement publié met du temps à se propager ; le logo n'apparaît pas instantanément.
• Le cache du client. Certains clients mettent le logo en cache : un changement peut tarder à se refléter côté destinataire.

Diagnostiquer ces points un par un, dans cet ordre, résout la quasi-totalité des cas de « j'ai publié BIMI mais je ne vois rien ».

BIMI et la délivrabilité : ce qu'il faut en attendre

Une confusion mérite d'être levée : BIMI n'est pas, en soi, un levier de délivrabilité. Il ne fait pas arriver les emails en boîte de réception — c'est l'authentification et la réputation qui font cela. Ce que BIMI apporte, c'est un signal de confiance visible une fois le message arrivé : reconnaissance de marque, distinction d'avec la fraude, et un effet possible, indirect, sur l'engagement des destinataires qui reconnaissent le logo. Le présenter comme un booster de délivrabilité serait le survendre ; le présenter comme la couche de confiance qui couronne un domaine déjà bien configuré est exact. C'est un aboutissement, pas un raccourci.

Évaluer sa préparation

La première question qui se pose n'est pas « quel logo ? » mais « le domaine est-il déjà en application ? ». Un passage dans notre analyseur DMARC gratuit donne un verdict immédiat : en p=none, BIMI reste hors de portée tant que le travail d'application n'est pas mené. La posture d'un secteur entier se compare par ailleurs dans l'Observatoire DMARC, de quoi situer une marque parmi ses pairs.

Amener un domaine à p=reject puis planifier BIMI est exactement le parcours que Thomas, le RSSI virtuel, est conçu pour porter : il identifie chaque source d'envoi, génère le DNS à publier, évalue la préparation domaine par domaine et indique le moment où l'application se fera sans risque — l'étape qui débloque le logo. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.