O registro fica em default._bimi.example.com: v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem. O logotipo deve ser um SVG quadrado no perfil restrito SVG Tiny Portable/Secure, servido por HTTPS. Os provedores de e-mail só o exibem se a mensagem passar no DMARC e a política do domínio for quarantine ou reject (quando houver uma tag pct legada, ela deve ser 100).
A maioria dos grandes provedores também exige um certificado de marca em a=: um certificado de marca verificada (Verified Mark Certificate, VMC) para uma marca registrada ou, no caso do Gmail, alternativamente um certificado de marca comum (Common Mark Certificate, CMC) para um logotipo que a organização já usou publicamente. O Gmail só exibe a marca de verificação com um VMC; o Yahoo exibe logotipos sem certificado para remetentes qualificados.
O BIMI não autentica nada novo; ele recompensa os domínios que já aplicam uma política DMARC restritiva. O decodificador de BIMI e VMC verifica o registro, o perfil do SVG e o certificado.