[ BIMI及品牌 ]

BIMI DNS语法、选择器和记录发现

将BIMI标签和发现视为版本化协议行为,而不是盲目粘贴的记录。

由EmailAuth研究团队提供

[ 要点 ]

  • 将BIMI选择器与DKIM选择器分开。
  • 草案 -15 包含相互冲突的后备描述;避免依赖假设的普遍后备。
  • 语法传递不是接收器显示结果。
在此页面上

BIMI discovery 连接消息的 From 域和 选择器 DNS断言。重要的问题是接收者有权使用哪个记录,而不是任何TXT值是否恰好包含单词BIMI 。本文遵循 2026 年 10 月的互联网草案draft-brand-indicators-for-message-identification-15 ,而不是将其作为已发布的 RFC 呈现。

注释断言

参考: 来源§4.3.

在v=BIMI1; l=https://assets.example/logo.svg; a=https://assets.example/mark.pem,标识协议版本,l指向指标,a指向权威证据。草案要求版本优先和具体情况。它允许一个空的权限位置;协议级别的可选标签不会消除接收者的证书要求。为了清楚起见,该示例使用两个 URL,而 Google 当前基于 PEM 的示例可以使用空 l 和 a 中的证书位置。遵循适用的接收器路径,而不是假设每个语法变体都会创建相同的显示结果。

草案借用 DKIM 标记值语法。重复标签并不是定义替代方案的方法。未知标签会被指定的扩展模型忽略;他们无权发明新的语义。保持未知标签处理与无效的所需值不同。

按照发现名称

参考: 来源§5.1, 来源§6.4, 来源§7.2.

如果没有显式BIMI选择器,则使用默认选择器。 BIMI-Selector 中携带显式选择器;它不会自动DKIM的值。对于来自notices.example.com和选择器seasonal 的消息,初始名称为seasonal._bimi.notices.example.com 。第 7.2 节第 6 步在其组织后备算法中保留了该选择器。然而,第 6.4 节描述了组织域上默认断言的回退。这些陈述在草案-15 中存在冲突。本文描述了第 7.2 节的算法,而不是通用的部署行为:在依赖任一回退之前验证预期的接收器实现。在可行的情况下直接发布预期的选定断言,而不是围绕这种未解决的不一致进行设计。

Draft -15 还描述了通过 lps 的本地部分选择器行为。这是一个版本敏感的功能:在围绕它设计活动之前记录哪个实现支持它。私人审查包的解析器固定装置不实现本地部分规范化、标头身份验证、组织域计算或接收器缓存。

检查完整答案

参考: 来源§7.2.

A TXT记录 可以由形成一个逻辑值的多个字符串组成。这与两个单独的合格断言记录不同。如果符合条件的记录集不唯一,草稿的发现过程就会停止。查询完整集并在捕获的答案中保留引用边界。 DNS控制面板预览可以隐藏这种区别。

私人审查包的有界解析器案例接受受支持子集中的普通示例,拒绝重复的断言,检测重复的 l 标签,拒绝 HTTP 位置,拒绝错误的案例版本,并接受包含未知未来标签的其他有效记录。这些是执行的决策测试,而不是观察邮箱提供商的响应。它们的狭窄解析器不应作为生产验证器安装。

进行受控修正

更正具体的记录名称或值,重新查询权威服务器,然后在相关缓存间隔后检查递归答案。保留答案和之前的记录。在声明显示恢复之前重新测试实际的接收提供商。更改DKIM选择器, DMARC 策略或邮件路由并不是针对BIMI TXT语法问题的适当全面修复。

[ 外卖 ]

语法传递不是接收器显示结果。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

IT/邮件管理员

捕获记录集,而不是某个值的屏幕截图

将准确的技术工件与观察到的结果联系起来。

后续步骤

  1. 捕获记录集,而不是某个值的屏幕截图。
  2. 为另一个操作员保留命令、输出和哈希值。

CISO / SecOps

测试确切的发送者和选择者

徽标信号并不授权业务请求或取代独立控制。

后续步骤

  1. 测试确切的发送者和选择者。
  2. 保留付款验证和帐户泄露控制。

创始人/非技术人员

将草稿版本附加到协议声明中

将所需的品牌体验视为具有可见发布条件的范围项目。

后续步骤

  1. 将草案版本附加到协议声明中。
  2. 仅在说明剩余证据差距的情况下才批准发射。

[ 常见问题解答 ]

常见问题

BIMI选择器是DKIM选择器吗?

不。即使操作员选择相似的名称,它们也是独立的机制。

BIMI互联网草案 -15,日期为 2026 年 10 月 31 日

默认选择器是什么?

默认情况下,当适用的消息未指定另一个BIMI选择器时。

BIMI互联网草案 -15,日期为 2026 年 10 月 31 日

两个TXT字符串总是重复记录吗?

否。一条TXT资源记录内的字符串被连接;单独的记录是不同的。

BIMI互联网草案 -15,日期为 2026 年 10 月 31 日

未知标签是否会使整个记录失败?

草案 -15 表示忽略未知标签。无效的已知必填字段是另一种情况。

后备总是使用默认值吗?

Draft -15 内部不一致:第 7.2 节第 6 步保留选定的选择器,而第 6.4 节描述了默认后备。验证预期的实现,而不是普遍假设任一行为。

BIMI互联网草案 -15,日期为 2026 年 10 月 31 日

该装置是否是完整的BIMI实施?

不。它仅测试记录的语法子集和唯一性情况。

是否可以为每个接收者省略可选的权限标签?

不会。草案中的可选语法不会覆盖接收者的证书要求。 Google 记录的部署路径需要VMC或CMC ,即使通用断言格式允许缺少或空的权威证据。

哪个域启动BIMI查找?

草案 -15 以RFC5322开头。来自作者域和适用的BIMI选择器。查找不会自动使用信封发件人域或DKIM签名域。

[ 来源 ]

来源

  1. BIMI互联网草案 -15,日期为 2026 年 10 月 31 日

    部分 §4.3 · §5.1 · §6.4 · §7.2

  2. Google Workspace设置BIMI

    部分 开始之前 · SVG 要求 · 步骤 2–4

[ 词汇表 ]

词汇表

选择器
在域内选择BIMI断言的名称。
标签值语法
具有指定解析规则的分号分隔的命名字段。
组织后备
稍后的组织域查找。草案 -15 给出了冲突的选择器后备描述;请参阅发现警告。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库