Der Eintrag liegt unter default._bimi.example.com: v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem. Das Logo muss ein quadratisches SVG im eingeschränkten Profil SVG Tiny Portable/Secure sein und über HTTPS ausgeliefert werden. Postfachanbieter zeigen es nur, wenn die Nachricht DMARC besteht und die Richtlinie der Domain quarantine oder reject ist (ist noch ein veraltetes Tag pct vorhanden, muss es 100 sein).
Die meisten großen Anbieter verlangen außerdem ein Markenzertifikat in a=: ein Verified Mark Certificate (VMC) für eine eingetragene Marke oder, bei Gmail alternativ, ein Common Mark Certificate (CMC) für ein Logo, das die Organisation öffentlich verwendet hat. Gmail zeigt das Verifizierungshäkchen nur mit einem VMC; Yahoo zeigt Logos von Absendern, die die Voraussetzungen erfüllen, auch ohne Zertifikat an.
BIMI authentifiziert nichts Neues; es belohnt Domains, die DMARC bereits durchsetzen. Der BIMI- und VMC-Decoder prüft den Eintrag, das SVG-Profil und das Zertifikat.