部署 BIMI 需要满足哪些前置条件？为什么 DMARC 策略必须先收敛到位？

BIMI（Brand Indicators for Message Identification）的规范文档在 IETF Datatracker 上以 Internet-Draft 形式维护。其机制是：域名所有者通过 DNS 声明希望展示的指示物，接收方在邮件通过认证的前提下，可在客户端中展示该指示物。

必须先建立的认知：BIMI 不是认证机制，而是认证成果的展示层。它不提供任何新的防伪能力，其可信性完全建立在底层 DMARC 之上。因此「先把认证做扎实，再谈展示」是唯一正确的顺序。

需要说明的是，Internet-Draft 属于「进行中的工作」，规范内容可能随版本演进，部署前应以 Datatracker 上的最新版本为准。

BIMI 规范明确要求，参与 BIMI 的域名所有者必须具备强的 DMARC 策略，具体包括三项：

1. 策略必须是 quarantine 或 reject，p=none 不满足要求。
2. 组织域与消息的 RFC5322.From 域两者都必须满足该要求——只在子域上收敛而组织域仍为 none 是不够的。
3. 若使用 quarantine，pct 不得小于 100；换言之部分执行的灰度状态不被接受。

这意味着 BIMI 的真正门槛不在 BIMI 本身，而在前面那段 DMARC 收敛工作。若尚在 p=none 观察期或 pct 灰度中，任何 BIMI 配置都不会产生效果。

1. 完成 DMARC 收敛。盘清全部发送源、确保 DKIM 对齐覆盖、按 none → quarantine → reject 渐进推进至 pct=100 的强制策略，组织域与相关子域一并处理。这一步通常占整个项目九成以上的工作量。
2. 准备指示物文件。按规范要求的图形格式制作，并托管在可通过 HTTPS 访问的地址上。
3. 发布 BIMI 记录。在 DNS 中按规范格式发布断言记录，声明指示物位置。
4. 视需要准备验证材料。部分接收方要求提供由第三方签发的证明文件来佐证指示物的归属；是否必需、采信何种材料，由各接收方的本地策略决定。
5. 验证与观察。通过认证结果头中的相关字段确认接收方的判定，并持续观察。

规范中明确，接收方与客户端可以自行定义如何使用 BIMI 数据以及如何展示指示物。这带来几个必须接受的现实：

• 配置正确不等于一定展示。各接收方的支持程度、附加要求（如信誉、加密、名单等）各不相同。
• 不同客户端表现可能不一致，同一封邮件在不同环境下的展示结果可能有差异。
• 因此不宜把 BIMI 的展示效果作为可承诺的确定性结果。把它理解为「认证做好之后可能获得的附加收益」更为务实。

• 不要为了 BIMI 而仓促收紧 DMARC。策略收敛必须建立在发送源盘点完整的基础上，跳步会造成正常邮件被拒——代价远大于展示收益。
• 把 BIMI 当作推动认证治理的抓手是合理的。可见的展示效果往往比抽象的安全论证更容易获得资源支持，这本身就是规范设计时的意图之一。
• 真正的收益在底层。完成 DMARC 强制策略后获得的防冒充能力，其价值本身就已成立，无论最终是否展示指示物。
• 关注规范演进。作为进行中的工作，相关文档仍在更新，长期部署应保持对最新版本的跟踪。