Запись публикуется по имени default._bimi.example.com: v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem. Логотип должен быть квадратным SVG-файлом в ограниченном профиле SVG Tiny Portable/Secure и отдаваться по HTTPS. Почтовые сервисы показывают его, только если письмо проходит DMARC, а политика домена — quarantine или reject (если присутствует устаревший тег pct, его значение должно быть 100).
Большинство крупных почтовых сервисов также требуют сертификат знака в a=: Verified Mark Certificate (VMC) для зарегистрированного товарного знака; Gmail в качестве альтернативы принимает и Common Mark Certificate (CMC) для логотипа, который организация уже публично использовала. Галочку подтверждения Gmail показывает только с VMC; Yahoo показывает логотипы подходящих отправителей и без сертификата.
BIMI не добавляет новой аутентификации: он лишь поощряет домены, которые уже применяют принудительную политику DMARC. Декодер BIMI и VMC проверяет запись, профиль SVG и сертификат.