Eingaben
Beispiel
default._bimi.example.com -> v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem.
BIMI-Prüfer/Generator
Prüft BIMI-Records, DMARC-Bereitschaft, Logo- und Nachweis-URLs und erzeugt einen konservativen BIMI-TXT-Entwurf.
Nutze es, um BIMI-Record, DMARC-Enforcement und einen DNS-Entwurf vor Veröffentlichung zu prüfen.
Die Belohnung am Ende der Mail-Auth-Strecke
BIMI ist der sichtbare Lohn für unsichtbare Arbeit: ein Markenlogo neben deiner Mail, von Empfängern erst gewährt, wenn eine Domain sich bewiesen hat. Dieser Beweis ist der unterschätzte Teil — die Logo-Anzeige hängt in der Regel an einer erzwungenen DMARC-Policy und oft an einem Verified Mark Certificate als Beleg für die Legitimität des Logos. Der BIMI-TXT-Record selbst ist fast trivial; das Deployment scheitert oder gelingt an allem, worauf er zeigt und was er voraussetzt.
Dieser Checker liest die BIMI-Readiness einer Domain als Ganzes: den Record unter seinem Selector-Owner-Namen, die Tag-Syntax, die Logo-URL und ihre Erreichbarkeit, optionale VMC- oder CMC-Evidenz und — weil ohne sie nichts geht — die DMARC-Abhängigkeit. Zusätzlich entsteht ein konservativer DNS-Entwurf, damit der veröffentlichte Record aus geprüften Eingaben abgeleitet ist statt aus einem Blogpost zusammengesetzt.
Record, Logo und die Abhängigkeit prüfen
Beginne mit Domain und Selector — default._bimi ist der übliche Owner-Name — und hole die aktuellen BIMI- und DMARC-Records, oder füge beide ein, wenn du mit Zonendaten arbeitest. Lies zuerst das DMARC-Readiness-Verdikt: Mit p=none zeigen die meisten Empfänger kein Logo, egal wie perfekt der Rest ist — die DMARC-Verschärfung ist meist das eigentliche Projekt, BIMI dessen letzter Schritt.
Prüfe dann, worauf der Record zeigt. Das Logo muss ein SVG im Tiny-Portable/Secure-Profil sein, über HTTPS von einer stabilen URL ausgeliefert — behandle diese URL als Produktionsinfrastruktur, denn Empfänger holen sie nach eigenem Zeitplan. Veröffentliche das a=-Evidenz-Tag nur, wenn ein echtes Zertifikat existiert; eine Evidenz-URL mit Fehlern ist schlechter als gar kein Evidenz-Tag. Sind die Befunde sauber, nimm den generierten DNS-Wert, publiziere ihn und schließe die Schleife mit einem erneuten Check gegen Live-DNS.
DNS-Pfade und Readiness-Signale
Eingefügte Records bleiben im Browser. Live-DNS fragt nur die BIMI- und DMARC-Owner-Namen ab, zuerst über DNS-over-HTTPS mit dem Same-Origin-DNS-Helper als Fallback, und nur auf Anforderung. SVG-Profilkonformität und VMC/CMC-Evidenz werden als Readiness-Signale bewertet, nicht kryptografisch verifiziert — die finale Logo-Anzeige bleibt die Entscheidung jedes Empfängers, der seine eigene Policy über alles legt, was diese Seite sehen kann.
Häufige Fragen
Welchen Owner-Namen nutzt BIMI?
selector._bimi.domain — mit default als gebräuchlichem Selector, also default._bimi.example.com in den meisten Deployments. Mehrere Selectors sind möglich, wenn verschiedene Mailströme verschiedene Marken zeigen sollen.
Warum ist DMARC für BIMI so entscheidend?
Weil das Logo eine Vertrauensaussage ist und Empfänger sie nur Domains gewähren, die Authentifizierung erzwingen. Eine enforced DMARC-Policy — quarantine oder reject — ist die praktische Eintrittskarte; mit p=none gibt es selten eine Logo-Anzeige.
Wofür sind VMC- und CMC-Evidenz da?
Das optionale a=-Tag kann auf ein Verified Mark Certificate oder Common Mark Certificate zeigen, das dein Recht am Logo bezeugt. Manche große Empfänger verlangen es für die Anzeige; ohne bleibt BIMI selbstbehauptet und wird vorsichtiger behandelt.
Warum muss das Logo SVG Tiny Portable/Secure sein?
Weil Empfänger es in sicherheitskritischen Mail-Kontexten rendern und ein striktes Profil verlangen: keine Skripte, keine externen Referenzen, keine Animationen. Ein gewöhnlicher SVG-Export scheitert meist am Profil, obwohl er identisch aussieht.
Wird mein Logo von diesem Check hochgeladen?
Nein. Record und URLs werden analysiert, und der Browser lädt eine Vorschau nur, wenn die URL öffentlich erreichbar ist. Die Seite speichert nichts und reicht nichts weiter.
Mein Record ist gültig — warum erscheint kein Logo?
Weil die Anzeige die Entscheidung des Empfängers ist, nicht des Records. Häufige Ursachen: DMARC nicht enforced, fehlendes VMC wo verlangt, ein unerreichbares oder nicht profilkonformes SVG oder eine Absender-Reputation, die sich die Anzeige noch nicht verdient hat. Der Record ist notwendig, nie hinreichend.