BIMI, MTA-STS & TLS-RPT Checker

Your brand logo in inboxes (BIMI), enforced encryption for inbound mail (MTA-STS) and TLS failure reports (TLS-RPT) — all checked in one run.

Key facts

Price: Free
Sign-up: Not required
Processing: On our server: DNS queries; over HTTPS (SSRF-guarded, no redirects) we fetch only the MTA-STS policy, the SVG logo and the PEM certificate
Input: A domain and, if needed, a BIMI selector (default: "default")
Limits: 8 checks per minute, no daily cap; files: policy up to 64 KB, logo up to 1 MB, certificate up to 256 KB
Output: Three sections: BIMI (record, logo preview, SVG checks, VMC/CMC certificate, DMARC), MTA-STS (TXT, policy, MX vs patterns), TLS-RPT; what to fix
Last updated: 2026-10-13

Alternatives

Other tools for the same job, and what each one does well:

MxToolbox BIMI Lookup — Finds the BIMI record and runs a series of diagnostic checks on it; MxToolbox has a separate MTA-STS Lookup for MTA-STS.
BIMI Group BIMI Inspector — The BIMI Group's own tool: validates the record format and that DMARC is at enforcement; by its own note it does not validate the SVG or the mark certificate.
URIports MTA-STS Validator — Checks the MTA-STS DNS record and policy file and their syntax; the service also offers BIMI and DANE validators and paid report monitoring.
EasyDMARC BIMI Lookup — Retrieves the BIMI record, validates the logo and the VMC, and shows how the logo looks in different conditions.

When to choose this tool: When you want BIMI, MTA-STS and TLS-RPT checked in one run — with the DMARC requirement, a logo preview and MX-vs-policy matching, no sign-up, in four languages.

Descriptions checked against each tool's own site in October 2026.

BIMI, MTA-STS and TLS-RPT checker

This tool checks three mail standards that go beyond SPF, DKIM and DMARC in one run. BIMI: the TXT record, the SVG logo (basic SVG Tiny PS profile rules), the VMC or CMC mark certificate and the required DMARC p=quarantine or p=reject. MTA-STS: the _mta-sts TXT record, the HTTPS policy file and whether your MX hosts match its patterns. TLS-RPT: the _smtp._tls record and its report addresses. Free, no sign-up.

BIMI: record, logo preview, basic SVG Tiny PS checks

VMC/CMC certificate: expiry, owner, BIMI key usage, domain in SAN

MTA-STS: TXT, policy file, mode, max_age, MX vs patterns

TLS-RPT and the DMARC requirement for BIMI

How to Use

Enter the domain you send mail from
Only set a BIMI selector if yours is not "default"
Fix the errors section by section: BIMI, MTA-STS, TLS-RPT

FAQ

Чаще всего не выполнено одно из условий: DMARC с p=quarantine или p=reject (без pct меньше 100), SVG в профиле Tiny PS по адресу https, сертификат марки VMC или CMC в a=. Даже когда всё в порядке, Gmail и другие сервисы сами решают, показывать ли логотип, учитывая репутацию отправителя, а после изменений логотип появляется не сразу. Проверьте все три условия здесь, а требования конкретного сервиса — в его документации.

Это урезанный профиль SVG для BIMI: в корне <svg> должны быть version="1.2" и baseProfile="tiny-ps", внутри — <title> с названием бренда; запрещены скрипты, растровые картинки, внешние ссылки, анимация и атрибуты x/y у корня. Логотип должен быть квадратным и, по рекомендации BIMI, не больше 32 КБ. Обычный экспорт из графического редактора эти требования не выполняет — нужен конвертер или ручная правка. Наша проверка базовая и не заменяет валидацию у центра сертификации.

MTA-STS (RFC 8461) заставляет отправителей доставлять почту на ваши MX только по TLS с действительным сертификатом. Нужны две вещи: TXT-запись _mta-sts.домен со значением v=STSv1; id=… и файл https://mta-sts.домен/.well-known/mta-sts.txt со строками version: STSv1, mode, mx (по одной на каждый MX или шаблон *.) и max_age. Файл отдаётся по HTTPS с действительным сертификатом, без редиректов. Начните с mode: testing и TLS-RPT, а когда отчёты чистые — переключите на enforce и поменяйте id.

TLS-RPT (RFC 8460) — это адрес, куда отправители (например, Google) раз в сутки присылают сводку: сколько сессий с вашими MX прошли по TLS и какие ошибки были — просроченный сертификат, несовпадение с политикой MTA-STS и т. п. Без него вы узнаете о проблемах с шифрованием только по потерянным письмам. Запись простая: _smtp._tls.домен TXT "v=TLSRPTv1; rua=mailto:адрес".

Бесплатно, без регистрации, до 8 проверок в минуту. Кроме DNS-запросов мы скачиваем только три файла: политику MTA-STS (до 64 КБ), SVG-логотип (до 1 МБ) и PEM-сертификат из записи BIMI (до 256 КБ) — по HTTPS, без перехода по редиректам и только с публичных адресов.

Three standards on top of SPF, DKIM and DMARC

Standard	Purpose	Where it lives
BIMI	Your brand logo next to messages in the inbox	TXT `default._bimi.domain` + SVG and certificate over HTTPS
MTA-STS	Inbound mail only over TLS with a valid certificate	TXT `_mta-sts.domain` + a policy file over HTTPS
TLS-RPT	Daily reports from senders about TLS problems	TXT `_smtp._tls.domain`

BIMI: what it takes for the logo to appear

DMARC at enforcement: p=quarantine or p=reject, with no pct below 100. With p=none nobody shows the logo — check your policy with the DMARC checker.
An SVG Tiny PS logo at an https URL: square, with a <title>, no scripts, raster images or external references, and version="1.2" plus baseProfile="tiny-ps" on the root.
A mark certificate — a VMC (for a registered trademark) or a CMC — as a PEM file at an https URL. Gmail will not show the logo without one; other providers have their own rules.

The BIMI record:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

Even when everything is right, each mailbox provider decides whether to show the logo, taking sender reputation into account, and changes take time to appear. Our SVG check is basic: it catches common mistakes but does not replace the certificate authority's validation.

MTA-STS: switching it on without losing mail

Without MTA-STS, senders encrypt mail to you only when they can: STARTTLS can be stripped in transit and the message goes out in clear text. MTA-STS publishes a policy saying "deliver only over TLS to these MX hosts".

Publish https://mta-sts.example.com/.well-known/mta-sts.txt (served as text/plain, with a valid certificate for mta-sts.example.com, no redirects):
```
version: STSv1
mode: testing
mx: mx1.example.com
mx: *.mail.example.net
max_age: 604800
```
Add the TXT record: _mta-sts.example.com "v=STSv1; id=20261013T000000".
Add TLS-RPT and read the reports for a week or two.
If they are clean, switch to mode: enforce, raise max_age and always change the id in the TXT record, or senders will not re-fetch the policy.

Every MX host of the domain must match one of the mx: lines. The pattern *.mail.example.net covers exactly one label on the left: a.mail.example.net matches, a.b.mail.example.net does not. The tool compares your real MX hosts with the patterns and highlights mismatches.

TLS-RPT: one line that saves hours

_smtp._tls.example.com. TXT "v=TLSRPTv1; rua=mailto:[email protected]"

Senders that support TLS-RPT send a daily JSON report: how many sessions used TLS and which certificate errors or MTA-STS policy mismatches occurred. Publish exactly one record; addresses in rua must be mailto: or https://.