BIMI-Prüfer/Generator
Prüft BIMI-Tags, DMARC-Abhängigkeit, Asset-URLs, Evidence-Signale und einen konservativen Entwurf.
E-Mail-SicherheitBIMI-Rollout: Von enforced DMARC zum sichtbaren Logo
Der BIMI-TXT-Record ist der kleinste Teil des Projekts. Das sichtbare Logo steht am Ende einer langen betrieblichen Kette aus aligned Authentifizierung, enforced DMARC, strengem SVG-Profil, optionalem Zertifikatsnachweis und Reputation — die letzte Entscheidung behält trotzdem jeder Empfänger.
Verdiene Enforcement, bevor du das Logo anfasst
BIMI hängt an DMARC-Enforcement, weil ein sichtbares Markenzeichen sonst eine From-Domain belohnen würde, die Empfänger nicht zuverlässig schützen können. Die praktische Schwelle lautet p=quarantine oder p=reject; p=none beobachtet nur. Auch ein partieller Rollout über pct kann an den Regeln eines Providers scheitern. Wichtiger: Die Policy muss betrieblich sicher sein. Jede legitime Quelle braucht aligned SPF oder aligned DKIM, bevor Empfänger Fehler konsequent behandeln sollen. BIMI ist damit kein Ersatz für das Authentifizierungsprojekt, sondern dessen spätes sichtbares Nebenprodukt.
Inventarisiere Transaktionsmail, Marketing, Support-Plattformen, Benutzer, Appliances und vergessene SaaS-Sender über DMARC-Aggregatreports. Wechsle erst zu Quarantine und Reject, wenn unerlaubter Verkehr von kaputten legitimen Streams unterscheidbar ist. Der SPF/DMARC/DKIM-Prüfer prüft Live-Policy und Authentifizierungsrecords. Seine Grenze bleibt wichtig: DNS-Readiness beweist nicht, was eine echte Nachricht signiert oder welche Envelope-Domain ein Provider tatsächlich verwendet. Plane Subdomains bewusst: Vererbung über sp= und eine eigene Subdomain-Policy können den Stream anders behandeln als den Apex, unter dem du das Logo erwartest.
Publiziere einen absichtlich langweiligen Record
Der übliche Owner ist default._bimi.example.com; mit Selectors lassen sich getrennte Marken für kontrollierte Streams führen. Ein Basiswert lautet v=BIMI1; l=https://assets.example.com/brand.svg. Die l=-Adresse muss dauerhaft per HTTPS erreichbar sein. Falls du Zertifikatsevidenz verwendest, zeigt a= auf die VMC- oder CMC-Datei. Eine provisorische Evidence-URL gehört nicht in DNS: Ein kaputter Verweis fügt einen Fehler hinzu, aber kein Vertrauen.
Behandle die Assets als Produktionsabhängigkeit: korrekter Content-Type, keine Anmeldung, keine fragilen Redirects, gültige TLS-Kette und vorhersehbare Verfügbarkeit. Halte die URL bei Dateiversionen stabil, plane aber Caches ein. Der BIMI-Prüfer/Generator liest BIMI und DMARC live, bewertet Tags, Asset-URLs und Readiness-Signale und entwirft einen konservativen Wert. Er zertifiziert Evidence nicht kryptografisch und verspricht keine Darstellung durch einen Mailbox-Provider.
SVG Tiny P/S ist kein gewöhnliches SVG
Ein Logo, das im Browser öffnet, ist noch lange kein BIMI-Logo. Empfänger erwarten SVG Tiny Portable/Secure: ein eingeschränktes, in sich geschlossenes Profil für sicherheitskritisches Rendering. Skripte, Animationen, externe Ressourcen, verlinkte Fonts und viele Editor-Eigenheiten fallen heraus. Die Datei braucht eine quadratische ViewBox, skalierbare Grafik und darf nicht von einem Hintergrund abhängen, der im Client hell, dunkel, kreisförmig oder stark gepolstert sein kann.
Der direkte Export aus dem Designprogramm hinterlässt oft Metadaten, unzulässige Elemente, Rasterbilder oder Styling außerhalb des Profils. Erzeuge das BIMI-Asset als eigenes Deliverable, validiere die Struktur und betrachte es danach klein sowie in verschiedenen Crops. Großzügige Safe Area und eine einfache Bildmarke schlagen eine Wortmarke, deren Buchstaben auf Avatargröße zu Staub werden. „Pixelgenau“ in der Quelldatei ist wertlos, wenn der Empfänger die Hälfte der Fläche maskiert. Versioniere Quelle und freigegebene BIMI-Datei gemeinsam. Sonst überschreibt das Brand-Team später unbemerkt die validierte Spezialdatei mit einem gewöhnlichen Web-Export.
VMC oder CMC ist eine Coverage-Entscheidung
Ein Verified Mark Certificate bindet eine validierte Marke an Logo und Domain. Das ist der stärkste Evidence-Pfad und bei manchen großen Mailbox-Providern Voraussetzung für deren BIMI-Darstellung. Die Kosten bestehen nicht nur aus dem Zertifikat: Markenbereich, rechtlicher Inhaber, exakte Grafik und Renewal werden zu betrieblichen Abhängigkeiten. Ein Common Mark Certificate unterstützt Zeichen außerhalb des klassischen registrierten Markenpfads; Provider-Support und Darstellung können sich jedoch unterscheiden.
Entscheide von deiner Empfängerpopulation rückwärts. Fordern die relevanten Provider ein VMC, kann ein technisch korrekter zertifikatsfreier Rollout geschäftlich unsichtbar bleiben. Deckt certificate-free BIMI das Ziel bereits ab, kaufe Evidence nicht als Ritual. Dokumentiere, auf welche Provider-Policies die Entscheidung zielt, und prüfe sie beim Renewal erneut. Programme ändern sich, Zertifikate laufen ab, Markenrechte wandern — und ein altes a=-Ziel wird aus gestrigem Beweis schnell zum heutigen Darstellungsfehler. Lege Renewal-Verantwortung und Vorlauf fest; Zertifikatsbeschaffung mit Markenprüfung lässt sich am letzten Gültigkeitstag nicht zuverlässig improvisieren.
Rolle eine Beweiskette aus
Belege zuerst DMARC-Enforcement über einen vollständigen Geschäftszyklus. Hoste und validiere dann das SVG, beschaffe nötige Zertifikatsevidenz und publiziere BIMI mit Change-Nachweis und Rollback-Wert. Frage den exakten Selector-Owner nach TTL-Ablauf über mehrere Resolver ab. Logo und Evidence müssen von außerhalb ohne Cookies, Allowlists oder Content Negotiation abrufbar sein, die unbekannten Fetchern plötzlich HTML statt der Datei liefert.
Sende aligned Produktionsmail an repräsentative Provider und lies deren Authentifizierungsergebnisse. Prüfe, ob die sichtbare From-Domain wirklich jene ist, deren DMARC und BIMI du vorbereitet hast; Annahmen über Parent- und Subdomain-Policies verursachen stille Fehlschläge. Halte für jede Probe Provider, Client, Zeitpunkt, From-Domain, Authentifizierung und sichtbares Ergebnis fest. So erkennst du graduelle Freischaltung, statt einzelne Screenshots als widersprüchliche Wahrheit zu behandeln. Die MX-Record-Prüfung entdeckt benachbarte Routing-Probleme, doch eingehendes MX ist keine BIMI-Voraussetzung einer Versanddomain. Halte die Schichten getrennt — besonders bei Subdomains, die senden, aber nichts empfangen.
Warum trotz gültigem Record kein Logo erscheint
Beginne mit den üblichen Fehlern: DMARC steht weiter auf p=none, Enforcement ist partiell, SPF oder DKIM besteht ohne Alignment, From nutzt die falsche Domain, der Selector-Owner stimmt nicht oder DNS-Caches halten eine alte Antwort. Danach folgt die Asset-Kette: Redirect-Schleifen, TLS-Fehler, falscher Medientyp, unerreichbare oder abgelaufene Evidence und ein optisch gültiges SVG außerhalb Tiny P/S. Ein syntaktisch sauberer TXT-Record beweist fast nichts davon.
Sind die technischen Checks grün, bleibt oft die Provider-Policy. Empfänger bewerten Reputation, Volumen, Missbrauch und kontoabhängige Darstellungsregeln; manche verlangen Zertifikatsevidenz, manche implementieren BIMI anders, manche gar nicht. Logos erscheinen mit Verzögerung, nur in bestimmten Clients oder nicht bei Testverkehr. Verschlimmbessere einen korrekten Record nicht im Tagesrhythmus. Bewahre Evidenz, überwache Authentifizierung und Assets — und behandle Darstellung als Provider-Entscheid, nicht als durch DNS gewährtes SLA. Definiere Erfolg nicht als Screenshot aus einem einzigen Postfach, sondern als stabile Sichtbarkeit in priorisierten Provider- und Client-Kombinationen bei weiterhin sauberer Authentifizierung.