BIMI sans VMC : est-ce possible (et est-ce une bonne idée) ?

Ce qui s'affiche vraiment sans certificat

En pratique, un enregistrement BIMI sans certificat donne un résultat très inégal : quelques boîtes plus modestes, historiquement plus permissives, peuvent afficher le logo à partir du seul l= ; mais les inbox majoritaires ne le feront pas. Autrement dit, toute la préparation est consentie (application DMARC, logo conforme, hébergement) sans que le gros du bénéfice soit touché — la visibilité dans Gmail et les grandes boîtes.

Cette couverture évolue et dépend des politiques de chaque fournisseur, mais la règle de fond est stable : plus une boîte est grande et exposée à la fraude, plus elle exige une preuve. C'est logique, et il ne faut pas espérer que cela s'assouplisse.

Le CMC : le certificat pour les logos sans marque déposée

Entre « rien » et « VMC », il existe un intermédiaire : le CMC (Common Mark Certificate). Il s'adresse précisément aux organisations qui ne peuvent pas obtenir de VMC parce qu'elles n'ont pas de marque déposée — logos d'entités publiques, marques d'usage anciennes, structures qui n'ont jamais déposé.

Le CMC atteste l'usage et l'identité sans reposer sur un enregistrement de marque, ce qui le rend accessible à des organisations exclues du VMC. En contrepartie, il n'est pas accepté par tous les fournisseurs : à ce jour, Apple Mail le reconnaît, mais Gmail s'appuie sur le VMC. Le CMC est donc une vraie option quand la priorité est l'écosystème Apple, ou quand un VMC reste structurellement inaccessible — mais il ne débloque pas Gmail. Le choix entre les deux se fait selon les boîtes visées, un arbitrage abordé aussi dans l'article certificat de marque vérifiée.

Quand publier sans VMC a du sens

Renoncer (temporairement) au certificat n'est pas absurde dans plusieurs cas :

• En préparation : publier le l= seul pendant qu'une demande de marque ou de certificat suit son cours permet de valider la chaîne technique (DNS, format du logo) sans attendre.
• Sans marque déposable : quand le VMC est hors de portée et que la cible n'est pas Gmail, un l= seul ou un CMC peut suffire à afficher le logo là où c'est possible.
• Pour tester : vérifier que le logo s'affiche correctement dans les boîtes permissives avant d'engager les frais du certificat.

Dans tous ces cas, l'essentiel est de ne pas se leurrer sur le résultat : sans VMC, le logo restera invisible pour la majorité des destinataires Gmail.

Le vrai prérequis reste DMARC

Un rappel qui vaut pour toutes ces variantes : rien ne s'affiche, VMC ou pas, tant que le domaine n'est pas en application DMARC. La question du certificat ne se pose qu'après avoir atteint p=quarantine ou p=reject. Un domaine en p=none n'affichera aucun logo, avec ou sans certificat — le socle est rappelé dans atteindre p=reject sans casser ses emails et afficher le logo dans la boîte de réception.

Panorama des exigences par fournisseur

Pour décider s'il faut un certificat, il faut savoir ce que chaque boîte exige — la règle générale étant « plus la boîte est grande, plus elle demande de preuves » :

• Gmail : exige un VMC. Sans lui, pas de logo, point. C'est la boîte qui, à elle seule, justifie le plus souvent l'investissement.
• Apple Mail (versions récentes) : accepte le VMC ou le CMC. C'est la principale porte d'entrée pour les organisations sans marque déposée.
• Yahoo Mail : exige un certificat (VMC).
• Boîtes plus modestes : certaines affichent le logo à partir du seul l=, sans certificat — mais leur poids dans une base grand public est marginal.

La conséquence pratique : viser Gmail impose un VMC ; viser seulement Apple ouvre la voie au CMC ; se contenter des boîtes permissives réduit fortement la portée.

VMC ou CMC : comment trancher

Le choix se résume à deux questions. La marque est-elle déposée ? Si oui, le VMC est la voie complète, qui couvre Gmail et les autres. Sinon, il est hors de portée sans déposer d'abord une marque (plusieurs mois). Quelles boîtes sont visées ? Quand Gmail est incontournable pour l'audience concernée, il n'y a pas d'alternative au VMC. Quand cette audience est majoritairement sur Apple, ou quand l'ambition se limite à un logo « là où c'est possible » sans le coût et le délai d'un dépôt de marque, le CMC devient une option sérieuse. Beaucoup d'organisations finissent par viser le VMC à terme, tout en démarrant plus modestement — mais le chemin se choisit les yeux ouverts sur ce que chaque niveau débloque.

« Publié » n'est pas « affiché »

L'erreur de raisonnement la plus courante autour de BIMI : croire que publier un enregistrement suffit. Publier un BIMI record est trivial ; obtenir que le logo s'affiche est le vrai travail, et il dépend entièrement de la conformité (application DMARC, logo au bon format, certificat accepté par la boîte visée). Un enregistrement publié sans certificat, pour une audience Gmail, est un enregistrement qui ne produit aucun logo visible — techniquement valide, pratiquement inerte. Mesurer le succès de BIMI, c'est regarder ce que voient réellement les destinataires, pas ce que contient la zone DNS.

Le coût caché de ne rien faire

Il y a un point qu'on oublie en pesant le coût d'un VMC : l'absence de logo n'est pas neutre. Là où les concurrents affichent le leur, une pastille grise ou une initiale générique paraît, par contraste, moins établie — et surtout, elle n'offre aucune protection visuelle contre l'usurpation. Un email frauduleux au nom d'une marque, dans une boîte où celle-ci n'a pas de logo, ne détonne pas ; dans une boîte où son logo est habituellement présent, son absence devient un signal d'alerte pour le destinataire attentif. Renoncer au certificat, c'est donc renoncer à la fois à un actif de marque et à un indice anti-fraude. Ce n'est pas forcément le mauvais choix — pour une petite structure sans marque déposée, le calcul peut pencher pour l'attente — mais il faut le poser lucidement, coût contre bénéfice, plutôt que par défaut.

La tendance ne joue pas pour l'attentisme

Faut-il attendre que les fournisseurs assouplissent leurs exigences ? Rien ne l'indique. La direction de l'écosystème va vers plus de preuves, pas moins : l'authentification du domaine est devenue un prérequis d'envoi en volume, et la vérification du logo suit la même logique anti-fraude. Parier sur un Gmail qui accepterait un jour le l= seul serait imprudent. Quand le logo vérifié fait partie des objectifs, mieux vaut engager le chemin — marque, application, certificat — que d'attendre une souplesse qui n'a aucune raison de venir.

Recommandation

Pour une marque grand public et déjà déposée, la cible est le VMC : c'est le seul chemin vers Gmail, et le bénéfice justifie le coût, surtout pour les secteurs usurpés comme la finance. Sans marque déposée, le CMC mérite d'être évalué pour l'écosystème Apple, à défaut un l= seul publié en attendant — en gardant en tête que le gros de l'audience Gmail restera hors de portée sans VMC.

Et avant toute chose, le socle se vérifie : un passage du domaine dans notre analyse DMARC gratuite confirme qu'il est bien en application, et l'Observatoire DMARC permet d'en situer la posture. Amener un domaine à p=reject — l'étape qui conditionne tout le reste — est précisément ce que Thomas, le RSSI virtuel, prend en charge. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.