用于邮件身份与品牌信任的标志证书

品牌邮件识别（BIMI）是一项邮件身份验证标准，可在支持的邮件客户端中显示品牌标志。对 Gmail 用户，Google 会在发件人名称旁显示蓝色勾选标记，表示标志已验证。验证标志证书（VMC）由可信机构签发，用于验证标志所有权，通常是实施 BIMI 所需的证书。通用标志证书（CMC）同样验证标志所有权，但不要求注册商标，因此能够更快、更便捷地实现 BIMI 合规，不过不会触发 Gmail 蓝色勾选标记。

BIMI 与 SPF、DKIM 和 DMARC 等邮件身份验证工具配合，通过视觉方式证明发件人合法，让邮件在收件箱中更醒目、更可信。 SPF（发件人策略框架） 允许域名所有者指定哪些邮件服务器有权代表域名发送邮件，从而防止邮件身份伪造。 DKIM（域名密钥识别邮件） 允许发件人为邮件附加数字签名，以确认发件人身份并验证内容在传输过程中未被修改，从而增加一层安全保障。 DMARC (Domain-based Message Authentication Reporting & Conformance) 在 SPF 和 DKIM 基础上提供策略框架，告知接收邮件服务器如何处理未通过 SPF 或 DKIM 检查的邮件，同时让域名所有者接收邮件身份验证结果报告。

BIMI 通过 DNS 记录将邮件地址与品牌标志关联。要符合 BIMI，企业需要先使用 SPF、DKIM 和 DMARC 验证邮件，再设置指向品牌标志图像和 VMC 的 DNS 记录。SPF 确认哪些服务器可以代表域名发送邮件；DKIM 添加数字签名，证明邮件未被修改；DMARC 将二者结合，防止身份伪造和网络钓鱼。Gmail、Apple Mail 和 Yahoo 等支持 BIMI 的邮件服务商收到企业域名邮件时会检查 BIMI 记录。DMARC 验证通过后，服务商会在 DNS 中查找发件域名的 BIMI 记录，并读取 VMC 和标志图像进行显示；如果 DMARC 失败，则不会继续查找 BIMI。

目前，实施 BIMI 的邮件客户端支持在收件箱中显示 VMC 标志，包括 Gmail、Yahoo Mail、Apple Mail、Zoho Mail、Fastmail、La Poste、Onet.pl、Zoner 和 au.com。Gmail 还会为使用 VMC 的验证发件人显示蓝色勾选标记。最新邮件服务商列表由 BIMI Group 维护.

按照以下步骤创建 BIMI 记录：

1.  实施 DMARC 策略： 域名的 DMARC 策略必须设置为 p=quarantine 或 p=reject。
2. 准备品牌标志： 使用 SVG Tiny Portable/Secure（SVG P/S）配置将品牌标志转换为 SVG 格式。
3. 托管品牌标志： 将 SVG 文件上传至可通过 HTTPS 安全访问的位置。
4. 获取验证标志证书（VMC）： 如果目标邮件服务商（例如 Gmail）有要求，请从可信证书颁发机构获取 VMC。
5. 发布 BIMI 记录： 为 default._bimi 添加一条 DNS TXT 记录。yourdomain.com 格式如下：
   v=BIMI1; l=https://yourdomain.com/logo.svg; a=https://yourdomain.com/vmc.pem;

如果不使用 VMC，请将自声明记录中的 a= 字段留空。

如果不确定如何向 DNS 添加 TXT 记录，请联系托管服务商、DNS 服务商或系统管理员。

可以自行托管品牌标志，但必须能够通过 HTTPS 公开访问。将 SVG 文件上传到互联网可访问的服务器位置，并在 BIMI DNS 记录中引用其 URL。请确保文件符合 BIMI 规范，且不受身份验证或重定向限制；也可以选择由 Sectigo 托管标志文件。

标志证书有效期为一年，费用也按年续订。即使付款自动续订，证书仍需每年重新验证和签发，以满足行业要求。年度重新签发可确保标志所有权、域名控制权和其他验证信息保持准确且最新。

如果组织只有一个域名和一个标志，通常只需一张 VMC/CMC。多个域名共用一个标志时，也可以使用同一张证书。如果希望在收件箱中显示多个不同标志，则每个标志需要一张证书。

品牌标志必须满足：

• 采用 SVG Tiny Portable/Secure（SVG Tiny 1.2）格式。
• 正方形宽高比 （例如 250×250 像素）。
• 文件小于 24 KB 。
• 不能包含脚本、注释、外部链接或嵌入字体，也不能包含光栅图像。
• 包含带有公司名称的 <title> 标签。
• 托管在安全的 HTTPS 服务器上。

可以使用 BIMI Group 提供的工具，或通过文本编辑器手动修改 SVG 文件以确保合规。