Dział marketingu wraca z konferencji z prostą prośbą: chcemy, żeby obok naszych maili w Gmailu było logo firmy, tak jak u banku. Administrator poczty sprawdza i okazuje się, że logo to najmniejszy problem. Domena ma politykę DMARC p=none, faktury wysyła zewnętrzny system księgowy, a newsletter — platforma marketingowa skonfigurowana przez agencję, która już nie istnieje.
Tak zaczyna się wiele projektów BIMI. Standard wygląda na dodatek wizerunkowy, ale w rzeczywistości jest nagrodą za uporządkowaną pocztę: logo pojawi się dopiero wtedy, gdy domena każe kwarantannować albo odrzucać wiadomości, które się pod nią podszywają. W maju 2026 r. zasady samego rekordu DMARC zmienił nowy RFC 9989, co ma znaczenie także dla BIMI jako elementu cyberbezpieczeństwa poczty.
Czym jest BIMI i co właściwie widzi odbiorca wiadomości?
BIMI (Brand Indicators for Message Identification) to mechanizm, który pozwala właścicielowi domeny wskazać logo wyświetlane przez skrzynkę odbiorcy obok wiadomości przesłanych z tej domeny. Odbiorca widzi logo marki zamiast inicjału albo pustego awatara — pod warunkiem, że wiadomość przeszła uwierzytelnienie, a skrzynka obsługuje standard.
Według stanu na 12 listopada 2026 r. specyfikacja BIMI jest indywidualnym Internet-Draftem w wersji 15, zaktualizowanym 31 października 2026 r. Strona IETF Datatracker zaznacza, że dokument nie ma formalnego statusu w procesie standaryzacji IETF. W praktyce BIMI rozwija AuthIndicators Working Group, znana jako BIMI Group, a o jego obsłudze decydują dostawcy skrzynek.
Najbardziej widoczna implementacja to Gmail. Pomoc Google Workspace (stan na 26 października 2026 r.) opisuje dodatkowo znacznik weryfikacji przy nadawcach, których logo potwierdza certyfikat VMC. To rozróżnienie ma znaczenie, bo dwa typy certyfikatów, opisane dalej, dają w Gmailu różny efekt.
Warto od razu ustawić oczekiwania. BIMI nie jest funkcją, którą włącza się w panelu poczty. To łańcuch zależności: polityka DMARC, rekord w DNS, plik logo w ściśle określonym formacie i — dla Gmaila — certyfikat wydany przez zewnętrzny urząd certyfikacji. Każde ogniwo ma innego właściciela w firmie.
Dlaczego BIMI działa tylko przy DMARC w trybie egzekwowania?
BIMI działa tylko przy DMARC w trybie egzekwowania, ponieważ draft wprost wymaga od właściciela domeny polityki quarantine albo reject zarówno dla domeny organizacyjnej, jak i dla domeny z nagłówka From. Polityka p=none, która jedynie zbiera raporty, wyklucza wyświetlenie logo. To samo dotyczy polityki dla poddomen sp=none.
Logika jest prosta: logo ma pomagać odbiorcy rozpoznać prawdziwego nadawcę. Gdyby domena tolerowała wiadomości niezgodne z DMARC, oszust mógłby wysłać podróbkę, a skrzynka nie miałaby podstaw, by ją odróżnić. Dlatego BIMI wymaga, żeby domena najpierw sama powiedziała odbiorcom, co mają robić z fałszywkami. Czym jest DMARC i jak działa razem z SPF i DKIM, wyjaśnia hasło DMARC w słowniku, a szczegóły konfiguracji — przewodnik po DMARC, SPF i DKIM.
Google opisuje te same wymagania z perspektywy Gmaila: opcja p musi mieć wartość quarantine albo reject, a opcja pct — wartość 100, czyli polityka obejmuje całą pocztę wychodzącą z domeny. Draft BIMI precyzuje, że przy polityce quarantine z jawnie podanym znacznikiem pct ten znacznik musi wynosić dokładnie 100.
W praktyce to wymaganie jest najtrudniejszą częścią projektu. Przejście z p=none na quarantine oznacza, że każda wiadomość z systemu, który nie został poprawnie skonfigurowany pod SPF albo DKIM, może trafić do spamu u odbiorcy. Zanim zaostrzysz politykę, raporty zbiorcze DMARC muszą pokazać wszystkie źródła poczty wysyłanej w imieniu domeny — także te, o których IT nie wiedziało.
Najważniejsze:
- BIMI wymaga polityki DMARC
quarantinealborejectw domenie nadawcy i w domenie organizacyjnej.- Polityka
p=nonelubsp=nonewyklucza wyświetlenie logo.- Najwięcej pracy wymaga inwentaryzacja systemów wysyłających pocztę, nie samo logo.
- Definicję i konfigurację DMARC opisują słownik i osobny przewodnik — tu skupiamy się na tym, czego wymaga BIMI.
Co zmienia RFC 9989 w rekordzie DMARC pod BIMI?
RFC 9989, opublikowany w maju 2026 r., zastąpił dotychczasowy RFC 7489 i usunął z DMARC znacznik pct. Jego użyteczną funkcję przejął nowy znacznik t (od „testing”) z wartościami y i n. Tymczasem draft BIMI w wersji 15 i pomoc Google nadal opisują wymaganie pct=100, odwołując się do starego RFC.
Dla administratora wynika z tego jedna praktyczna konsekwencja. Według RFC 9989 znacznik t=y oznacza, że właściciel domeny testuje politykę, a odbiorca stosuje poziom o jeden niższy: przy p=quarantine do wiadomości niezgodnych stosuje politykę none, a przy p=reject — quarantine. Draft BIMI w wersji 15 nie opisuje znacznika t, więc nie wiadomo, jak skrzynki potraktują rekord p=quarantine; t=y. Bezpieczniej publikować politykę bez t=y.
Co zrobić z pct, skoro nowy RFC go nie zna? W RFC 7489 ten znacznik był opcjonalny, a jego wartość domyślna wynosiła 100. Rekord bez pct i bez t=y spełnia więc zarówno stare, jak i nowe rozumienie pełnego zastosowania polityki. Jawne pct=100 nie szkodzi odbiorcom działającym według RFC 7489, ale w nowym standardzie nie ma już znaczenia. Specyfikacja BIMI jest wciąż szkicem, a wymagania dostawców skrzynek nadążają za zmianą DMARC z opóźnieniem. Konfiguracja poprawna dziś wymaga przeglądu przy każdej zmianie dokumentów źródłowych.
Jak wygląda rekord BIMI w DNS?
Rekord BIMI to rekord TXT publikowany w poddomenie _bimi, domyślnie pod nazwą default._bimi.twojadomena.pl. Zawiera wersję protokołu, adres pliku z logo i — opcjonalnie — adres dokumentu potwierdzającego prawo do logo, czyli certyfikatu. Przykładowy rekord wygląda tak:
default._bimi.twojadomena.pl. IN TXT "v=BIMI1; l=https://twojadomena.pl/bimi/logo.svg; a=https://twojadomena.pl/bimi/vmc.pem"Znacznik l= wskazuje lokalizację logo i według draftu dopuszcza wyłącznie transport HTTPS. Znacznik a= wskazuje dokument dowodowy wydany przez urząd weryfikujący znak, w praktyce plik PEM z certyfikatem. Puste a= oznacza logo deklarowane samodzielnie, bez potwierdzenia.
Draft przewiduje też selektory, czyli różne rekordy dla różnych strumieni poczty. Domyślny selektor default wystarcza większości firm, ale organizacja wysyłająca osobno pocztę transakcyjną i marketingową może wskazać inne logo dla każdej z nich. Selektor wybiera nadawca w nagłówku wiadomości, a odbiorca szuka rekordu pod odpowiednią nazwą.
Typowe błędy w tym kroku są przyziemne: literówka w nazwie poddomeny, plik logo serwowany przez przekierowanie albo z certyfikatem TLS, którego łańcuch nie jest kompletny. Pomoc Google zaleca serwer z TLS 1.2 lub nowszym i wymaga certyfikatu TLS z odwołaniem do zaufanego urzędu głównego.
Czym różnią się certyfikaty VMC i CMC i kto je wystawia?
VMC (Verified Mark Certificate) potwierdza logo będące zarejestrowanym znakiem towarowym albo znakiem rządowym, a CMC (Common Mark Certificate) — logo używane wcześniej bez rejestracji albo zmodyfikowaną wersję zarejestrowanego znaku. Oba typy są rodzajami Mark Certificate i według draftu wystawia je Mark Verifying Authority, czyli upoważniony podmiot weryfikujący.
BIMI Group ogłosiła certyfikaty CMC 26 września 2024 r., a Google zaczął je obsługiwać w Gmailu jako alternatywę dla VMC. To ważna zmiana dla mniejszych firm, bo do VMC logo musi być zarejestrowane w urzędzie własności intelektualnej uznawanym przez wystawców VMC. Google szacuje, że sama rejestracja znaku trwa zwykle od 6 do 12 miesięcy (stan na 26 października 2026 r.).
Różnica jest też widoczna dla odbiorcy. Gmail pokazuje znacznik weryfikacji tylko przy nadawcach potwierdzonych certyfikatem VMC. BIMI Group zaznacza, że sposób wyświetlenia logo zależy od dostawcy skrzynki, a grupa robocza nie określa, czym ma się różnić prezentacja VMC i CMC.
Certyfikat VMC lub CMC wystawia urząd certyfikacji z listy prowadzonej przez BIMI Group, do której odsyła pomoc Google. Lista się zmienia, dlatego przed wyborem wystawcy warto sprawdzić jej aktualną wersję, a nie artykuły sprzed kilku lat. Decyzja, który certyfikat wybrać, jest w pierwszej kolejności decyzją prawną — zależy od tego, czy i gdzie logo jest zarejestrowane — a dopiero potem techniczną.
Jak przygotować logo w formacie SVG Tiny PS?
Logo do BIMI musi być plikiem SVG w profilu SVG Tiny Portable/Secure, oznaczanym jako SVG Tiny PS. BIMI Group wymaga atrybutu baseProfile="tiny-ps", wersji 1.2 i elementu <title> z nazwą firmy. Plik nie może zawierać skryptów, animacji, odnośników zewnętrznych ani atrybutów x= i y= w głównym elemencie <svg>.
Gmail dokłada własne wymagania. Według pomocy Google Workspace (stan na 26 października 2026 r.) obraz musi mieć co najmniej 96 na 96 pikseli, a wymiary trzeba podać w pikselach bezwzględnych, a nie w procentach. Google zaleca też logo wyśrodkowane w kwadracie, na jednolitym tle, z elementem <desc> dla dostępności i w pliku nie większym niż 32 KB.
Najczęstsza pułapka to eksport z programu graficznego. BIMI Group zwraca uwagę, że eksport do SVG Tiny 1.2 z programu Adobe Illustrator dodaje atrybuty x= i y=, które trzeba usunąć ręcznie albo skryptem. Logo z przezroczystym tłem może wyświetlić się inaczej, niż zakładano, a skrzynka może pokazać je w kole albo w kwadracie z zaokrąglonymi rogami.
Plik zatwierdzony przez wystawcę certyfikatu trafia do pliku PEM razem z certyfikatem. Google podkreśla, że Gmail i inni klienci poczty obsługują BIMI tylko z plikami PEM, uzupełnionymi o certyfikaty pośrednie i główny. Każda późniejsza zmiana logo oznacza więc nowy certyfikat, a nie podmianę grafiki na serwerze.
Które skrzynki pocztowe pokazują logo BIMI?
Logo BIMI z certyfikatem VMC albo CMC pokazuje m.in. Gmail, a logo deklarowane samodzielnie, bez certyfikatu, obsługuje tylko kilku dostawców. BIMI Group wymienia wśród nich Yahoo, Fastmail i La Poste. Różnica wynika z tego, że część skrzynek nie ufa logo, którego prawa do użycia nikt niezależny nie sprawdził.
Obsługa standardu nie gwarantuje wyświetlenia logo. BIMI Group wyjaśnia, że dostawca skrzynki nie ma obowiązku pokazać logo domeny stosującej BIMI i może podejmować decyzje lokalnie, na przykład na podstawie reputacji nadawcy. Domena z poprawną konfiguracją może więc u części odbiorców nadal widnieć z inicjałem.
Dla polskiej firmy oznacza to proste pytanie: gdzie są skrzynki naszych klientów? Jeśli większość odbiorców korzysta z Gmaila i Google Workspace, certyfikat jest warunkiem koniecznym. Jeśli dominują skrzynki, które BIMI nie obsługują, korzyść wizualna będzie ograniczona, a główną wartością projektu pozostanie uporządkowanie DMARC.
Czy BIMI chroni przed phishingiem?
BIMI chroni przed phishingiem tylko pośrednio: wymusza politykę DMARC, która blokuje wiadomości podszywające się pod tę konkretną domenę, i ułatwia odbiorcy rozpoznanie autentycznego nadawcy. Samo logo nie ocenia treści wiadomości. Potwierdza domenę nadawcy, a nie jego intencje.
To rozróżnienie ma realne skutki. Jeśli przestępca przejmie prawdziwą skrzynkę pracownika albo kontrahenta, wysłana z niej wiadomość przejdzie SPF, DKIM i DMARC, bo technicznie jest autentyczna, a mimo to może zawierać fałszywy numer konta. Przejęte konto przejdzie DMARC i dostanie logo, dlatego BIMI nie zastępuje kontroli treści.
BIMI nie chroni też przed domenami podobnymi do firmowej, w których jedna litera jest zamieniona. Oszust może skonfigurować dla takiej domeny poprawny DMARC, ale nie dostanie certyfikatu na cudzy znak towarowy — dlatego u odbiorców korzystających z Gmaila jego wiadomości nie będą miały ani logo, ani znacznika weryfikacji. To realna, choć ograniczona korzyść.
Pełną ochronę dają dopiero warstwy działające razem: DMARC w trybie egzekwowania, filtr poczty analizujący treść, załączniki i linki, procedura potwierdzania zmian danych płatniczych innym kanałem oraz pracownicy, którzy wiedzą, komu zgłosić podejrzaną wiadomość. Jak wygląda ochrona poczty przed ransomware i phishingiem w szerszym ujęciu, opisuje hub o bezpieczeństwie poczty e-mail.
Od czego zacząć wdrożenie BIMI w firmie?
Wdrożenie BIMI zaczyna się od sprawdzenia, czy domena jest gotowa na DMARC w trybie egzekwowania, a nie od zamówienia certyfikatu. Kolejność ma znaczenie, bo certyfikat bez polityki quarantine albo reject nie da żadnego efektu. Poniższa checklista porządkuje warunki według kolejności, w jakiej warto je spełniać.
| Warunek gotowości | Jak sprawdzić | Typowa pułapka | Kto odpowiada |
|---|---|---|---|
| Znasz wszystkie źródła poczty z domeny | raporty zbiorcze DMARC z kilku tygodni | zapomniany system fakturowy, CRM albo platforma ankiet | administrator poczty |
| Każde źródło przechodzi SPF lub DKIM z wyrównaniem | raporty DMARC, nagłówki wiadomości testowych | platforma marketingowa podpisuje własną domeną | administrator poczty i właściciele systemów |
Polityka quarantine albo reject w domenie i w domenie organizacyjnej | rekord _dmarc domeny głównej i nadawczych | sp=none dla poddomen albo t=y dodane przy p=quarantine | administrator DNS |
| Logo w formacie SVG Tiny PS | walidator BIMI Group, wymagania Gmaila | atrybuty x= i y= z eksportu, przezroczyste tło | marketing i grafik |
| Podstawa prawna logo | rejestr znaków towarowych | logo różni się od zarejestrowanego znaku | dział prawny |
| Certyfikat VMC albo CMC i plik PEM | dane certyfikatu, łańcuch certyfikatów | brak certyfikatów pośrednich w pliku | administrator i wystawca certyfikatu |
Rekord default._bimi i hosting HTTPS | zapytanie DNS, test pobrania pliku | przekierowanie albo niepełny łańcuch TLS | administrator DNS i serwera |
| Przegląd po zmianach standardów | data ostatniej weryfikacji w dokumentacji | rekord z pct < 100 zamieniony na t=y | właściciel domeny |
Najwięcej czasu zajmują pierwsze trzy wiersze: od kilku tygodni do wielu miesięcy, zależnie od liczby systemów wysyłających pocztę. Pozostałe kroki idą szybciej, o ile znak towarowy już istnieje. Jeśli logo nie jest zarejestrowane, decyzja między rejestracją znaku pod VMC a certyfikatem CMC wydłuża harmonogram najbardziej.
Najważniejsze:
- Kolejność: źródła poczty, wyrównanie SPF i DKIM, polityka DMARC, dopiero potem logo i certyfikat.
- Sprawdź, czy w rekordzie z
p=quarantinenie dodanot=y(np. zamiastpct< 100).- Wybór między VMC a CMC zależy od statusu znaku towarowego, nie od technologii.
Jak nFlo może pomóc w ochronie poczty przed podszywaniem się pod domenę?
nFlo wdraża i utrzymuje rozwiązania ochrony poczty, które działają obok DMARC i BIMI: Check Point Email Security (dawniej Harmony Email & Collaboration) chroni Microsoft 365 i Google Workspace przez API, a Barracuda Email Protection łączy filtrowanie poczty z ochroną przed przejęciem kont i atakami BEC. Te narzędzia analizują treść, linki i załączniki oraz wykrywają oznaki przejęcia kont, czyli to, czego BIMI z definicji nie ocenia.
Przy okazji wdrożenia porządkujemy konfigurację uwierzytelniania poczty: inwentaryzujemy źródła wysyłki, analizujemy raporty DMARC i przygotowujemy plan przejścia na politykę egzekwowania. Certyfikat VMC lub CMC zamawia właściciel znaku u wystawcy z listy BIMI Group — w tym kroku wspieramy przygotowanie danych technicznych.
Jeśli chcesz sprawdzić, czy Twoja domena jest gotowa na BIMI i jak domknąć ochronę poczty, skontaktuj się z nami.
Co jeszcze warto wiedzieć o BIMI?
Czy BIMI jest oficjalnym standardem IETF?
Nie. Według stanu na 12 listopada 2026 r. specyfikacja BIMI jest indywidualnym Internet-Draftem w wersji 15, a strona IETF Datatracker zaznacza, że dokument nie ma formalnego statusu w procesie standaryzacji. Mimo to Gmail i część innych skrzynek obsługuje BIMI w praktyce.
Czy do BIMI potrzebny jest znak towarowy?
Do certyfikatu VMC tak: logo musi być zarejestrowanym znakiem towarowym. Jeśli znaku nie ma, Gmail przyjmuje certyfikat CMC, wydawany dla logo używanego wcześniej albo zmodyfikowanego znaku zarejestrowanego. Według Google sama rejestracja znaku może potrwać wiele miesięcy.
Czy BIMI działa przy polityce DMARC p=none?
Nie. Draft BIMI wprost zabrania przetwarzania BIMI, gdy domena ma politykę p=none albo sp=none. Potrzebna jest polityka quarantine albo reject, stosowana do wszystkich wiadomości, zarówno w domenie organizacyjnej, jak i w domenie nadawcy.
Czy BIMI zastępuje filtr antyphishingowy?
Nie. BIMI potwierdza, że wiadomość przeszła DMARC dla danej domeny, i pozwala pokazać jej logo. Nie ocenia treści wiadomości ani nie wykrywa przejętych kont. Ochronę przed phishingiem nadal zapewniają filtry poczty, procedury i szkolenia użytkowników.
Ile trwa wdrożenie BIMI?
Część techniczna, czyli rekord DNS i plik logo, zajmuje niewiele czasu. Najdłużej trwa dojście do DMARC w trybie egzekwowania, bo wymaga inwentaryzacji wszystkich systemów wysyłających pocztę, oraz ewentualna rejestracja znaku towarowego pod certyfikat VMC.
