Stel je voor dat je bedrijfslogo netjes naast elke e-mail in de inbox van je klanten staat. Dat is wat BIMI doet. Het is niet alleen mooi, het is ook een vertrouwenssignaal: een logo dat alleen verschijnt als je e-mail correct geauthenticeerd is. BIMI instellen vraagt wel om strikte voorwaarden, vooral een sterk DMARC-beleid.
Wat BIMI is en doet
BIMI staat voor Brand Indicators for Message Identification. Het is een standaard waarmee je je bedrijfslogo koppelt aan je geauthenticeerde e-mail. Ondersteunende mailproviders, waaronder Gmail, Apple Mail en Yahoo, tonen dat logo dan naast je berichten.
Het effect is dubbel. Visueel maakt het je mail herkenbaarder en professioneler. Beveiligingsmatig is het een signaal: het logo verschijnt alleen bij correct geauthenticeerde mail, dus spoofers kunnen het niet zomaar nabootsen.
BIMI is het sluitstuk, niet de start
BIMI werkt alleen als je authenticatie volledig op orde is. Het is geen losse opsmuk maar het sluitstuk van een goede e-mailbeveiliging. Je moet eerst SPF, DKIM en een handhavend DMARC-beleid hebben voordat BIMI iets doet.
De voorwaarden
BIMI stelt harde eisen. Zonder deze fundamenten verschijnt je logo niet, hoe correct je het record ook publiceert.
De zes stappen naar een BIMI-logo
- Zorg dat SPF en DKIM correct zijn ingesteld en slagen.
- Stel DMARC in op minimaal
p=quarantine, bij voorkeurp=reject, metpct=100. - Maak je logo in het juiste formaat: SVG Tiny PS, vierkant.
- Verkrijg een certificaat (VMC of CMC) dat je eigendom van het logo bewijst.
- Host het logo en het certificaat op een veilige HTTPS-locatie.
- Publiceer een BIMI-record in DNS dat naar het logo en certificaat verwijst.
DMARC als fundament
De belangrijkste voorwaarde is een handhavend DMARC-beleid. BIMI vereist minimaal quarantine, en je domein moet DMARC-handhaving bereiken voordat een logo verschijnt. Een DMARC-beleid op p=none is niet genoeg, want dan handhaaf je niets en is het logo geen betrouwbaar signaal. Zorg daarnaast dat pct=100 staat, zodat het beleid op al je mail van toepassing is.
Schakel niet te snel naar reject
Spring niet meteen naar p=reject om BIMI mogelijk te maken. Een te snelle overstap naar reject kan legitieme mail blokkeren als nog niet al je verzendsystemen correct authenticeren. Verscherp DMARC stapsgewijs van none naar quarantine naar reject, en controleer bij elke stap de DMARC-rapporten op falende legitieme bronnen.
Het logo en het certificaat
Het logo moet in SVG Tiny PS-formaat, een specifieke en beperkte SVG-variant. Het moet vierkant zijn en je merk duidelijk weergeven. Voor Gmail en Apple Mail heb je daarnaast een certificaat nodig dat bewijst dat het logo werkelijk van jou is. Er zijn twee soorten, en het verschil is sinds 2024 belangrijk geworden.
Een Verified Mark Certificate (VMC) is gekoppeld aan een geregistreerd handelsmerk. Bij Gmail levert een VMC bovendien een blauw geverifieerd vinkje op naast je naam. Een Common Mark Certificate (CMC) is sinds eind 2024 een goedkoper alternatief: het vereist geen geregistreerd merk, maar bewijs dat je je logo al minimaal twaalf maanden publiek gebruikt. Een CMC toont wel je logo, maar geeft geen blauw vinkje. Beide certificaten vragen nog steeds om DMARC-handhaving.
| Aspect | VMC | CMC |
|---|---|---|
| Vereist handelsmerk | Ja, geregistreerd merk | Nee, wel 12+ maanden publiek gebruik |
| Blauw geverifieerd vinkje in Gmail | Ja | Nee |
| Toont logo in Gmail en Apple Mail | Ja | Ja |
| DMARC-handhaving vereist | Ja | Ja |
Kies bewust tussen VMC en CMC
Heb je een geregistreerd handelsmerk en wil je het blauwe vinkje, kies dan een VMC. Heb je geen merkregistratie maar wel een logo dat je al langer voert, dan is een CMC vaak sneller en goedkoper te verkrijgen. Controleer altijd de actuele eisen bij je certificaatuitgever, want providerregels en prijzen veranderen.
Het record publiceren
Het BIMI-record is een TXT-record op de subdomeinnaam default._bimi.jouwdomein.nl (de selector default werkt zonder extra mailheaders). Het record bevat minimaal twee tags: v=BIMI1 voor de versie en l= met de HTTPS-URL van je logo. Met een certificaat voeg je de tag a= toe die naar het PEM-bestand verwijst.
Een voorbeeld van een volledig record ziet er zo uit:
v=BIMI1; l=https://voorbeeld.nl/bimi/logo.svg; a=https://voorbeeld.nl/bimi/certificaat.pem
Na publicatie en propagatie controleren ondersteunende providers het record en tonen ze je logo bij geauthenticeerde mail.
Valideer voordat je wacht op je logo
Gebruik een BIMI-validatietool om je record en logo te controleren voordat je verwacht dat het logo verschijnt. Een klein formaatprobleem in de SVG of een typefout in het record voorkomt weergave zonder foutmelding. Valideren bespaart je dagen zoeken naar waarom je logo niet opduikt.
Heb ik altijd een certificaat nodig?
Voor Gmail en Apple Mail wel: zij accepteren geen self-asserted logo. Sommige andere providers tonen je logo ook zonder certificaat, maar de grootste inboxen vereisen een VMC of CMC.
Wat is het verschil tussen een VMC en een CMC?
Een VMC vereist een geregistreerd handelsmerk en geeft in Gmail een blauw geverifieerd vinkje. Een CMC vereist geen merkregistratie, alleen minimaal twaalf maanden aantoonbaar publiek logogebruik, en toont je logo zonder dat blauwe vinkje.
Welk DMARC-beleid is minimaal vereist?
Minimaal p=quarantine, met pct=100. Veel organisaties gaan uiteindelijk naar p=reject voor de sterkste bescherming, maar bouw dat stapsgewijs op.
In welk formaat moet mijn logo?
SVG Tiny PS, een specifieke vierkante SVG-variant. Andere SVG-bestanden of bitmapformaten zoals PNG worden niet geaccepteerd.
Verschijnt het logo overal?
Alleen bij providers die BIMI ondersteunen, waaronder Gmail, Apple Mail en Yahoo. Niet elke mailclient toont het, en weergave kan per provider verschillen.
Hoe lang duurt het voordat mijn logo zichtbaar is?
Na correcte publicatie kan het enkele uren tot dagen duren, afhankelijk van DNS-propagatie en hoe snel de provider je record opnieuw uitleest.
BIMI is de kers op een goed beveiligde e-mailopzet. Het beloont correcte authenticatie met een zichtbaar vertrouwenssignaal: je logo in de inbox. Bouw eerst je SPF, DKIM en handhavende DMARC op, maak een correct logo en certificaat, en publiceer het record. Dan straalt je merk uit elke inbox die het ondersteunt.