L’enregistrement se trouve à default._bimi.example.com : v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem. Le logo doit être un SVG carré au profil restreint SVG Tiny Portable/Secure, servi en HTTPS. Les fournisseurs de messagerie ne l’affichent que si le message réussit la vérification DMARC et que la politique du domaine est quarantine ou reject (si une ancienne balise pct est présente, elle doit valoir 100).
La plupart des grands fournisseurs exigent aussi un certificat de marque dans a= : un Verified Mark Certificate (VMC) pour une marque déposée ou, chez Gmail, un Common Mark Certificate (CMC) à la place, pour un logo que l’organisation a déjà utilisé publiquement. Gmail n’affiche une coche de vérification qu’avec un VMC ; Yahoo affiche les logos sans certificat pour les expéditeurs qui remplissent ses critères.
BIMI n’authentifie rien de nouveau ; il récompense les domaines dont la politique DMARC est déjà restrictive. Le décodeur BIMI et VMC vérifie l’enregistrement, le profil SVG et le certificat.