Certificat VMC pour BIMI : prix, conditions et comment l'obtenir

La condition dure : une marque déposée

C'est l'obstacle qui surprend le plus d'organisations : un VMC exige une marque enregistrée. Pas un logo en usage depuis des années, pas une charte graphique : une marque figurative (ou le logo lui-même) officiellement déposée auprès d'un office compétent — l'INPI en France, l'EUIPO pour l'Union européenne, l'USPTO aux États-Unis, selon le périmètre visé.

Une marque déjà déposée, c'est la pièce maîtresse acquise. Sinon, il faut d'abord la déposer — une démarche qui a son propre coût et surtout son propre délai : plusieurs mois entre le dépôt et l'enregistrement définitif, période pendant laquelle le VMC n'est pas délivrable. C'est le facteur le plus souvent sous-estimé dans un projet BIMI : le certificat lui-même s'obtient en quelques jours, mais la marque qui le conditionne peut prendre des mois.

Le coût réel

Il faut distinguer deux postes :

• Le certificat VMC : compte, selon l'autorité, de l'ordre de 1 000 à 1 500 € par an (renouvelable). C'est un abonnement, pas un achat unique.
• Le dépôt de marque, en l'absence de marque existante : des frais d'office variables selon le nombre de classes et le territoire, plus éventuellement des honoraires de conseil en propriété industrielle. À budgéter séparément, et en amont.

Rapporté au bénéfice — un signal de marque affiché dans une part majoritaire des boîtes grand public — ce coût est modeste pour une marque financière, un e-commerçant établi ou un grand émetteur. Il l'est moins pour une petite structure sans marque déposée, pour qui l'alternative sans certificat mérite d'être pesée : BIMI sans VMC, est-ce possible.

La procédure d'obtention

Une fois la marque enregistrée et le domaine en application DMARC, l'obtention du VMC suit des étapes balisées :

1. Préparer le logo conforme au format SVG Tiny PS, carré, correspondant exactement à la marque déposée (le logo du certificat doit matcher la marque enregistrée).
2. Choisir une autorité habilitée (DigiCert, Entrust) et soumettre la demande, en fournissant les preuves de dépôt de marque.
3. Passer la validation : l'autorité vérifie les droits sur la marque et l'identité de l'organisation. C'est une vérification sérieuse, comparable à celle d'un certificat à validation étendue.
4. Recevoir le certificat (fichier PEM), l'héberger en HTTPS.
5. Publier l'enregistrement default._bimi avec la balise a= pointant vers le VMC, aux côtés du l= pointant vers le logo.

La mécanique complète de l'enregistrement et du format de logo est détaillée dans l'article socle, afficher son logo BIMI dans Gmail.

VMC ou CMC ?

Un mot sur une alternative de plus en plus visible : le CMC (Common Mark Certificate). Là où le VMC exige une marque déposée, le CMC s'adresse aux logos qui ne peuvent pas en obtenir une — marques non déposées, logos d'entités publiques, marques trop anciennes pour le dépôt classique. Le CMC est généralement moins coûteux, mais il n'est pas accepté partout : notamment, Gmail s'appuie sur le VMC, tandis qu'Apple Mail accepte le CMC. Le choix dépend donc des boîtes visées. Ce compromis est développé dans afficher le logo sans certificat.

Est-ce que ça en vaut la peine ?

Pour qui le VMC est-il un bon investissement ? Typiquement, les organisations pour lesquelles la marque est l'actif : banques et assureurs, e-commerçants, grandes marques grand public, services très usurpés. Pour elles, le logo vérifié protège la reconnaissance de marque et creuse l'écart avec la fraude — le prolongement naturel du raisonnement exposé dans le dossier consacré au secteur bancaire.

Mais l'ordre compte : le VMC ne sert à rien tant que le domaine n'est pas en application. Avant de budgéter un certificat, il faut avoir franchi l'étape qui débloque tout, décrite dans la marche à suivre complète.

Combien de temps ça prend, vraiment

Le calendrier d'un projet VMC est dominé par un facteur souvent ignoré : la marque. Décomposé :

• Le dépôt de marque (à défaut de marque existante) : plusieurs mois entre le dépôt et l'enregistrement définitif, selon l'office et d'éventuelles oppositions. C'est le poste le plus long, et de loin.
• L'application DMARC : de quelques semaines à quelques mois pour amener proprement le domaine de p=none à p=reject, selon la taille du parc d'envoi.
• Le certificat lui-même : une fois la marque et le domaine prêts, l'émission du VMC se compte en jours à quelques semaines, le temps de la validation par l'autorité.

Le piège classique est de traiter le VMC comme une case à cocher de dernière minute, puis de découvrir qu'il faut d'abord déposer une marque — et attendre. Quand le logo vérifié est un objectif, le dépôt de marque s'engage tôt, en parallèle du travail DMARC, pas après.

Le logo doit correspondre à la marque déposée

Un point qui bloque régulièrement les demandes : le logo publié via BIMI doit correspondre à la marque telle qu'elle est déposée. Déposer un logo puis en publier une variante sensiblement différente est exclu ; l'autorité vérifie la correspondance. En pratique, cela impose d'aligner en amont trois éléments : la marque figurative enregistrée, le fichier SVG Tiny PS préparé pour BIMI, et l'usage réel du logo. Une divergence — couleurs, proportions, éléments ajoutés — peut faire échouer la validation ou retarder l'émission. Mieux vaut figer le logo avant le dépôt de marque, pour que les trois coïncident.

Renouvellement et cycle de vie

Le VMC n'est pas un achat définitif : c'est un certificat à durée limitée, à renouveler périodiquement (typiquement chaque année). À l'expiration, si le renouvellement n'a pas été fait, les fournisseurs cessent d'afficher le logo — exactement comme un certificat TLS expiré casse le cadenas d'un site. Le VMC est donc un actif à maintenir, avec une alerte de renouvellement, au même titre que les autres certificats du parc. Un logo qui disparaît du jour au lendemain est presque toujours un VMC oublié.

Qui peut délivrer un VMC

Le nombre d'autorités habilitées est volontairement restreint — à ce jour, essentiellement DigiCert et Entrust. Ce n'est pas un marché ouvert comme celui des certificats TLS : la vérification des droits de marque exige une autorité accréditée par l'écosystème BIMI. Le choix entre ces émetteurs se fait selon leurs tarifs, leur processus de validation et la zone géographique ; le certificat obtenu est ensuite reconnu par tous les fournisseurs qui exigent un VMC.

La validation menée par ces autorités n'a rien d'une formalité : elle vérifie l'existence légale de l'organisation, ses droits sur la marque et la correspondance du logo, dans un processus proche de celui d'un certificat à validation étendue. C'est long et exigeant à dessein — c'est précisément cette rigueur qui donne sa valeur au logo affiché : un VMC facile à obtenir ne vaudrait rien comme signal de confiance. Pour l'organisation, cela signifie prévoir un interlocuteur capable de fournir rapidement les justificatifs demandés (documents d'entreprise, preuves de dépôt de marque) — les allers-retours administratifs sont la principale source de délai à ce stade.

Le socle DMARC d'abord

Inutile d'engager des frais de certificat sur un domaine qui n'est pas prêt. Un passage dans notre analyseur DMARC gratuit tranche la question : hors p=quarantine ou p=reject, aucun logo ne s'affichera, VMC ou pas. L'Observatoire DMARC situe par ailleurs la marque parmi les autres.

Amener un domaine à l'application puis préparer le terrain pour BIMI et le VMC est précisément ce que Thomas, le RSSI virtuel, orchestre : il conduit jusqu'à p=reject sans casser le courrier légitime, l'étape sans laquelle le certificat resterait lettre morte. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.