Ouvrez votre boîte de réception Gmail et faites défiler vos emails. Certains ont des logos de marque colorés à côté d’eux — le 'N' de Netflix, l’icône LinkedIn, le logo de votre banque. D’autres n’affichent qu’une initiale générique ou une silhouette grise. À quels emails faites-vous le plus instinctivement confiance ?
Cet affichage de logo n’est pas aléatoire, et ce n’est pas simplement Gmail qui récupère des images quelque part. C’est BIMI — Brand Indicators for Message Identification — une norme qui permet aux propriétaires de domaines de spécifier quel logo doit apparaître à côté de leurs emails authentifiés.
BIMI est la pièce la plus récente du puzzle de l’authentification email, et il diffère de SPF, DKIM et DMARC sur un point important : ce n’est pas directement lié à la sécurité. Il s’agit de tirer parti de votre posture de sécurité pour construire la reconnaissance de marque et la confiance. Voyez-le comme la récompense pour une authentification email bien faite.
Comment fonctionne BIMI
La mécanique de BIMI est simple. Vous publiez un enregistrement DNS qui pointe vers votre fichier de logo. Lorsqu’un client de messagerie compatible reçoit un email authentifié provenant de votre domaine, il consulte votre enregistrement BIMI, récupère le logo et l’affiche à côté de l’email.
Mais voici le hic : BIMI ne fonctionne que si votre email passe DMARC avec une politique quarantine ou reject. Si vous êtes encore à p=none, ou si l’email spécifique échoue à l’authentification, pas de logo. C’est voulu — BIMI est conçu comme un indicateur de confiance, et cette confiance n’a aucun sens si n’importe qui peut afficher n’importe quel logo.
Le logo lui-même doit être au format SVG, spécifiquement SVG Tiny Portable/Secure (SVG P/S). Il s’agit d’un sous-ensemble restreint de SVG qui empêche les scripts embarqués ou les références externes — des mesures de sécurité pour éviter que le logo ne devienne un vecteur d’attaque. Le fichier de votre équipe marketing n’est probablement pas dans ce format ; vous devrez le convertir.
Certains fournisseurs d’email (notamment Gmail) exigent également un Verified Mark Certificate (VMC) délivré par une autorité de certification. Cela ajoute une couche de vérification — l’AC confirme que vous possédez réellement la marque associée au logo que vous souhaitez afficher. C’est un coût et un processus supplémentaires, mais cela empêche quelqu’un d’enregistrer un domaine lookalike et d’afficher votre logo.
L’intérêt business de BIMI
BIMI demande des efforts : mise en application de DMARC, préparation du logo, éventuellement un VMC. Est-ce que ça en vaut la peine ?
Les données suggèrent que oui, au moins pour les marques qui envoient un volume d’emails significatif. Des études ont montré que les emails avec logos BIMI voient des taux d’ouverture plus élevés — certains rapports citent une amélioration de 10 % ou plus. Cela a du sens intuitivement : un logo reconnaissable dans une boîte de réception encombrée attire l’œil et signale la légitimité.
Il y a aussi un bénéfice défensif. Si votre marque est fréquemment usurpée par des attaquants pratiquant le phishing, BIMI aide vos emails légitimes à se démarquer. Les destinataires apprennent à chercher le logo ; son absence devient un signal d’alerte. Vous entraînez en quelque sorte votre audience à repérer les faux.
Pour les entreprises B2B, BIMI signale une sophistication technique. Si vous vendez à d’autres entreprises, surtout dans la tech ou des secteurs sensibles à la sécurité, avoir BIMI en place montre que vous prenez l’email au sérieux. C’est un petit détail, mais les petits détails s’additionnent pour construire la confiance.
Le contre-argument est que le support de BIMI reste limité. Gmail et Yahoo le prennent en charge ; Microsoft est en phase pilote ; de nombreux petits fournisseurs ne le supportent pas. Si la plupart de vos destinataires utilisent Outlook, l’investissement pourrait ne pas encore payer. Mais le support des clients email s’étend, et les early adopters bénéficient du fait de se distinguer tant que BIMI est encore relativement rare.
Mettre en place BIMI
Avant de commencer, vérifiez que votre politique DMARC est à p=quarantine ou p=reject avec de bons taux d’alignement. BIMI ne fonctionnera pas sans cette base. Si vous travaillez encore à faire appliquer DMARC, finissez cela d’abord.
Ensuite, préparez votre logo. Il doit être carré, centré et lisible en petite taille (il s’affichera souvent en 40x40 pixels ou moins). Le fichier doit être au format SVG Tiny P/S. Il existe des convertisseurs en ligne, mais pour de meilleurs résultats, faites créer une version spécifiquement optimisée pour ce cas d’usage par un designer.
Hébergez le fichier du logo à une URL HTTPS publiquement accessible. Cette URL va dans votre enregistrement BIMI, elle doit donc être stable et fiable. Ne l’hébergez pas sur un serveur susceptible de tomber en panne ou à une URL qui pourrait changer.
Si vous ciblez Gmail, vous aurez besoin d’un Verified Mark Certificate. Cela nécessite d’avoir une marque déposée pour votre logo et de passer par un processus de vérification avec une autorité de certification comme DigiCert ou Entrust. Le certificat n’est pas bon marché (généralement plus de 1 000 $ par an), mais il est requis pour l’affichage dans Gmail.
Enfin, publiez votre enregistrement DNS BIMI. C’est un enregistrement TXT à default._bimi.yourdomain.com contenant l’URL de votre logo et, si vous en avez un, l’URL de votre VMC. Le format est : v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/cert.pem
Après publication, testez en envoyant des emails vers des comptes Gmail et Yahoo. L’apparition du logo peut prendre quelques jours — il y a de la mise en cache en jeu. S’il n’apparaît pas après une semaine, vérifiez votre alignement DMARC et confirmez que le fichier logo respecte les exigences de format.
L’avenir de BIMI
BIMI évolue encore. La norme est relativement nouvelle, et l’adoption progresse mais n’est pas universelle. À quoi ressemble l’avenir ?
Davantage de clients email ajouteront probablement le support. Le pilote de Microsoft suggère que le support dans Outlook arrive. À mesure que BIMI devient un prérequis pour les grandes marques, les fournisseurs d’email plus petits seront poussés à l’implémenter eux aussi.
L’exigence de VMC pourrait devenir plus répandue ou être assouplie. Actuellement, seul Gmail l’exige, mais d’autres fournisseurs pourraient suivre. À l’inverse, à mesure que l’écosystème mûrit, il pourrait y avoir des options de vérification moins coûteuses.
On discute aussi d’étendre BIMI au-delà des logos statiques — potentiellement vers des noms d’expéditeur vérifiés ou d’autres indicateurs de confiance. L’infrastructure sous-jacente (application de DMARC plus assertions via DNS) pourrait prendre en charge divers signaux de confiance.
Pour l’instant, BIMI est un nice-to-have plutôt qu’un must-have pour la plupart des organisations. Mais si vous avez déjà mis en application DMARC, ajouter BIMI demande relativement peu d’efforts pour un bénéfice de marque significatif. Et si vous n’avez pas encore atteint l’application de DMARC, BIMI est une raison de plus de prioriser ce projet.
Frequently asked questions
BIMI fonctionne-t-il dans tous les clients email ?
Non. Gmail et Yahoo Mail prennent en charge BIMI. Apple Mail a un support partiel. Microsoft Outlook est en phase pilote. De nombreux petits clients email ne le supportent pas encore. Vérifiez l’état du support actuel avant d’investir massivement.
Ai-je besoin d’un Verified Mark Certificate ?
Pour Gmail, oui. Pour Yahoo et la plupart des autres clients compatibles, non — ils afficheront votre logo sans VMC. Si Gmail représente une part significative de vos destinataires, le VMC mérite d’être envisagé.
Puis-je utiliser n’importe quel logo ?
Le logo doit être au format SVG Tiny P/S, carré, et reconnaissable en petite taille. Si vous obtenez un VMC, il doit correspondre à une marque déposée. Vous ne pouvez pas utiliser n’importe quelle image.
Combien de temps BIMI met-il à fonctionner ?
Après la publication de votre enregistrement DNS, l’apparition des logos peut prendre plusieurs jours en raison de la mise en cache DNS et de la mise en cache côté client email. Si cela ne fonctionne pas après une semaine, dépannez votre alignement DMARC et le format du logo.