VMC : les Verified Mark Certificates pour BIMI
ChatGPT
Claude
Gemini
Perplexity
GrokL’essentiel
Un Verified Mark Certificate (VMC) prouve la propriété d’un logo pour que BIMI l’affiche dans Gmail et Yahoo. Exigences, coût et comment en obtenir un.
Un Verified Mark Certificate (VMC) est un certificat numérique utilisé en authentification e-mail pour vérifier la propriété du logo d’une marque et l’afficher en boîte de réception via BIMI (Brand Indicators for Message Identification). Le VMC sert de signal de confiance : il prouve que le logo appartient au domaine d’envoi et que seuls les e-mails authentifiés l’affichent. Il renforce la visibilité de la marque et protège contre l’hameçonnage en rassurant les destinataires sur la légitimité de l’e-mail.
Fonctionnement d’un VMC
Les VMC s’appuient sur l’authentification e-mail pour afficher le logo. Voici le processus :
- Obtenir un VMC : le propriétaire du domaine demande un VMC à une autorité de certification (CA) de confiance, comme DigiCert ou Entrust. La CA vérifie qu’il possède le logo, souvent sur preuve d’enregistrement de la marque.
- Publier l’enregistrement BIMI : le VMC est référencé dans le DNS du domaine via un enregistrement TXT BIMI (p. ex. default._bimi.example.com). Il contient aussi l’URL du fichier logo (au format SVG Tiny P/S) hébergé en HTTPS.
- Authentification : l’e-mail doit réussir les contrôles DMARC, qui reposent sur SPF et DKIM, avec une politique DMARC « quarantine » ou « reject » appliquée à 100 %. L’e-mail vient ainsi d’un expéditeur autorisé.
- Affichage du logo : si l’e-mail réussit l’authentification et que le VMC est valide, les clients de messagerie (MUA) participants (p. ex. Gmail, Yahoo) affichent le logo vérifié à côté de l’e-mail, souvent avec un indicateur de confiance comme une coche.
L’intérêt des VMC
Les VMC ont de réels atouts pour les entreprises et la sécurité e-mail :
- Notoriété : un logo vérifié en boîte de réception renforce l’identité de marque, rend les e-mails reconnaissables d’emblée et augmente le taux d’ouverture.
- Anti-hameçonnage : en liant le logo à une authentification DMARC stricte, les VMC empêchent les imposteurs de l’utiliser dans des e-mails frauduleux et protègent vos clients.
- Confiance client : un logo vérifié signale la légitimité, surtout dans la finance ou le commerce, où l’hameçonnage est très répandu.
- Avantage concurrentiel : avec l’essor de BIMI, les VMC montrent une marque avant-gardiste, qui se démarque par des normes e-mail de pointe.
Points d’attention
Un VMC demande de la préparation :
- Prérequis DMARC : un VMC ne fonctionne pas sans politique DMARC en pleine application (« quarantine » ou « reject »). Configurez d’abord SPF et DKIM correctement.
- Options de certificat : un VMC exige une marque déposée et ajoute la coche bleue de vérification à côté du logo. Depuis septembre 2024, Gmail accepte aussi un Common Mark Certificate (CMC), qui affiche le logo sans coche et exige, au lieu d’une marque, la preuve que le logo est utilisé publiquement depuis au moins 12 mois. Yahoo n’exige aucun certificat : il affiche les logos BIMI d’enregistrements auto-déclarés, avec DMARC en application et une réputation d’expéditeur suffisante. Chacun de ces certificats a un coût et un délai : anticipez.
- Prise en charge limitée : tous les clients e-mail ne gèrent pas encore BIMI ou les VMC. Gmail, Yahoo et Apple Mail affichent déjà les logos BIMI, pas encore Microsoft Outlook. L’adoption progresse, mais vérifiez la compatibilité avec les fournisseurs de votre public.
- Format du logo : le logo doit être un SVG Tiny P/S carré, hébergé de façon sécurisée. Un mauvais format peut empêcher l’affichage.
- Maintenance : les VMC expirent (comme les certificats SSL) et doivent être renouvelés pour rester actifs.
Comment obtenir un VMC ?
Du certificat absent au logo affiché, le parcours compte six étapes : être conforme DMARC, déposer votre logo comme marque, le formater en SVG Tiny P/S, acheter le VMC auprès d’une autorité de certification, charger le certificat sur votre serveur web, et ajouter un enregistrement TXT BIMI à votre domaine.
Après validation, la CA émet le VMC sous forme de fichier PEM de certificat d’entité. Si la CA fournit aussi des certificats intermédiaires, ajoutez-les au certificat d’entité pour former une chaîne complète, puis chargez le fichier PEM sur votre serveur web. L’enregistrement TXT BIMI se trouve sur le nom d’hôte _bimi et pointe vers le logo et le certificat :
Un enregistrement TXT BIMI ressemble en général à v=BIMI1; l=https://yourdomain.com/logo.svg; a=https://yourdomain.com/VMC.pem;. Remplacez le domaine et les chemins des fichiers par les vôtres. Laissez le DNS se propager, vérifiez l’enregistrement avec un outil de requête BIMI, et envoyez un e-mail de test pour confirmer l’affichage du logo. Le rendu peut varier selon les clients.
En résumé
Un Verified Mark Certificate (VMC) est un outil puissant pour l’image de marque et la sécurité e-mail : il permet d’afficher un logo vérifié en boîte de réception via BIMI. En liant l’affichage du logo à une authentification DMARC robuste, les VMC protègent contre l’hameçonnage tout en renforçant la visibilité et la confiance. Pour une organisation qui veut valoriser ses e-mails, un VMC est une étape stratégique vers une identité numérique plus sûre et reconnaissable.
À lire aussi
Questions des lecteurs
Questions fréquentes
Faut-il un VMC pour un logo dans Gmail ?
Plus maintenant. Depuis septembre 2024, Gmail accepte un Common Mark Certificate (CMC) en plus d’un VMC. Un CMC affiche le logo sans coche bleue et n’exige pas de marque déposée. Un VMC ajoute la coche et exige une marque. Les deux supposent d’abord DMARC en application.
Quel est le coût d’un VMC et quel délai prévoir ?
Le prix est fixé par l’autorité émettrice, comme DigiCert ou Entrust, pas par Palisade, et un VMC est un certificat annuel. Le plus long est en général la marque : elle doit être déposée avant l’émission du certificat, ce qui peut prendre des mois si vous partez de zéro.
Quel format de logo exige un VMC ?
Le logo doit être un SVG Tiny Portable/Secure (SVG Tiny P/S), carré et hébergé en HTTPS. Un SVG classique exporté d’un outil de design échoue en général à la validation avant conversion. Le convertisseur SVG BIMI de Palisade prépare le fichier selon la spécification.
Un VMC fonctionne-t-il avant l’application de DMARC ?
Non. BIMI n’évalue un logo que si le domaine a une politique DMARC quarantine ou reject. Si vous êtes encore en p=none, passez d’abord en application, puis publiez l’enregistrement BIMI. Vérifiez la politique actuelle d’un domaine avec le test DMARC.
Rédigé par
Johanie DupontMarque et e-commerce
Johanie Dupont s’occupe de l’e-mail de marque et e-commerce chez Palisade : BIMI, marques vérifiées, règles d’expéditeur, e-mails marketing en boîte.
Lire Johanie →
