Sprawdzanie BIMI, MTA-STS i TLS-RPT

Logo marki w skrzynkach (BIMI), wymuszone szyfrowanie poczty przychodzącej (MTA-STS) i raporty błędów TLS (TLS-RPT) — sprawdzimy wszystko naraz.

Najważniejsze fakty

Cena: Za darmo
Rejestracja: Niewymagana
Przetwarzanie: Na naszym serwerze: zapytania DNS; przez HTTPS (z ochroną przed SSRF, bez przekierowań) pobieramy tylko politykę MTA-STS, logo SVG i certyfikat PEM
Dane wejściowe: Domena i w razie potrzeby selektor BIMI (domyślnie „default”)
Limity: 8 testów na minutę, bez limitu dziennego; pliki: polityka do 64 KB, logo do 1 MB, certyfikat do 256 KB
Wynik: Trzy sekcje: BIMI (rekord, podgląd logo, testy SVG, certyfikat VMC/CMC, DMARC), MTA-STS (TXT, polityka, MX a wzorce), TLS-RPT; co poprawić
Ostatnia aktualizacja: 2026-10-13

Alternatywy

Inne narzędzia do tego samego zadania i w czym każde z nich jest dobre:

MxToolbox BIMI Lookup — Znajduje rekord BIMI i uruchamia na nim zestaw testów diagnostycznych; do MTA-STS MxToolbox ma osobny MTA-STS Lookup.
BIMI Group BIMI Inspector — Narzędzie grupy BIMI: sprawdza format rekordu i to, czy DMARC jest w trybie egzekwowania; jak podaje sama strona, nie sprawdza SVG ani certyfikatu znaku.
URIports MTA-STS Validator — Sprawdza rekord DNS i plik polityki MTA-STS oraz ich składnię; serwis ma też walidatory BIMI i DANE oraz płatny monitoring raportów.
EasyDMARC BIMI Lookup — Pobiera rekord BIMI, sprawdza logo i VMC oraz pokazuje, jak logo wygląda w różnych warunkach.

Kiedy wybrać to narzędzie: Gdy chcesz sprawdzić BIMI, MTA-STS i TLS-RPT jednym testem — z wymogiem DMARC, podglądem logo i porównaniem MX z polityką, bez rejestracji, w czterech językach.

Opisy sprawdzono na stronach tych narzędzi w październiku 2026 r.

Sprawdzanie BIMI, MTA-STS i TLS-RPT

Narzędzie sprawdza w jednym teście trzy standardy pocztowe ponad SPF, DKIM i DMARC. BIMI — rekord TXT, logo SVG (podstawowe wymagania profilu SVG Tiny PS), certyfikat znaku VMC lub CMC i wymagany DMARC z p=quarantine lub p=reject. MTA-STS — rekord TXT _mta-sts, plik polityki przez HTTPS i zgodność serwerów MX z jej wzorcami. TLS-RPT — rekord _smtp._tls i adresy raportów. Za darmo, bez rejestracji.

BIMI: rekord, podgląd logo, podstawowy test SVG Tiny PS

Certyfikat VMC/CMC: ważność, właściciel, przeznaczenie BIMI, domena w SAN

MTA-STS: TXT, plik polityki, tryb, max_age, MX a wzorce

TLS-RPT i wymóg DMARC dla BIMI

Jak korzystać

Wpisz domenę, z której wysyłasz pocztę
Selektor BIMI podaj tylko, jeśli nie jest to „default”
Popraw błędy w każdej sekcji: BIMI, MTA-STS, TLS-RPT

FAQ

Zwykle brakuje jednego z warunków: DMARC z p=quarantine lub p=reject (bez pct poniżej 100), logo SVG Tiny PS pod adresem https i certyfikat znaku VMC lub CMC w a=. Nawet gdy wszystko jest w porządku, Gmail i inni dostawcy sami decydują o pokazaniu logo, biorąc pod uwagę reputację nadawcy, a zmiany pojawiają się z opóźnieniem. Sprawdź tu wszystkie trzy warunki, a zasady konkretnego dostawcy — w jego dokumentacji.

To okrojony profil SVG dla BIMI: główny <svg> musi mieć version="1.2" i baseProfile="tiny-ps" oraz <title> z nazwą marki; zabronione są skrypty, obrazy rastrowe, odwołania zewnętrzne, animacje i atrybuty x/y w korzeniu. Logo powinno być kwadratowe i wg zaleceń BIMI nie większe niż 32 KB. Zwykły eksport z edytora graficznego tych wymagań nie spełnia — potrzebny jest konwerter lub ręczna edycja. Nasz test jest podstawowy i nie zastępuje walidacji urzędu certyfikacji.

MTA-STS (RFC 8461) każe nadawcom doręczać pocztę na Twoje MX tylko przez TLS z ważnym certyfikatem. Potrzebne są dwie rzeczy: rekord TXT _mta-sts.twojadomena z wartością v=STSv1; id=… oraz plik https://mta-sts.twojadomena/.well-known/mta-sts.txt z liniami version: STSv1, mode, mx (po jednej na każdy MX lub wzorzec *.) i max_age. Plik musi być serwowany przez HTTPS z ważnym certyfikatem, bez przekierowań. Zacznij od mode: testing i TLS-RPT, a gdy raporty są czyste — przełącz na enforce i zmień id.

TLS-RPT (RFC 8460) to adres, na który nadawcy, np. Google, raz na dobę wysyłają podsumowanie: ile sesji z Twoimi MX przeszło przez TLS i jakie były błędy — wygasły certyfikat, niezgodność z polityką MTA-STS itp. Bez niego o problemach z szyfrowaniem dowiesz się dopiero z zagubionych wiadomości. Rekord jest prosty: _smtp._tls.twojadomena TXT "v=TLSRPTv1; rua=mailto:adres".

Za darmo, bez rejestracji, do 8 testów na minutę. Poza zapytaniami DNS pobieramy tylko trzy pliki: politykę MTA-STS (do 64 KB), logo SVG (do 1 MB) i certyfikat PEM z rekordu BIMI (do 256 KB) — przez HTTPS, bez śledzenia przekierowań i tylko z publicznych adresów.

Trzy standardy ponad SPF, DKIM i DMARC

Standard	Po co	Gdzie jest publikowany
BIMI	Logo marki obok wiadomości w skrzynce	TXT `default._bimi.domena` + SVG i certyfikat przez HTTPS
MTA-STS	Poczta przychodząca tylko przez TLS z ważnym certyfikatem	TXT `_mta-sts.domena` + plik polityki przez HTTPS
TLS-RPT	Codzienne raporty od nadawców o problemach z TLS	TXT `_smtp._tls.domena`

BIMI: czego trzeba, żeby logo się pojawiło

DMARC w trybie egzekwowania: p=quarantine lub p=reject, bez pct poniżej 100. Przy p=none nikt nie pokaże logo — sprawdź politykę w teście DMARC.
Logo w SVG Tiny PS pod adresem https: kwadratowe, z <title>, bez skryptów, obrazów rastrowych i odwołań zewnętrznych, z version="1.2" i baseProfile="tiny-ps" w korzeniu.
Certyfikat znaku — VMC (dla zarejestrowanego znaku towarowego) lub CMC — jako plik PEM pod adresem https. Bez niego Gmail nie pokaże logo; inni dostawcy mają własne zasady.

Rekord BIMI:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

Nawet przy poprawnej konfiguracji dostawca poczty sam decyduje o pokazaniu logo, biorąc pod uwagę reputację nadawcy, a zmiany pojawiają się z opóźnieniem. Nasz test SVG jest podstawowy: wyłapuje częste błędy, ale nie zastępuje walidacji urzędu certyfikacji.

MTA-STS: jak włączyć bez utraty poczty

Bez MTA-STS nadawcy szyfrują pocztę do Ciebie tylko „jeśli się uda”: STARTTLS można wyciąć po drodze, a wiadomość pójdzie otwartym tekstem. MTA-STS publikuje politykę: „doręczaj tylko przez TLS do tych MX”.

Opublikuj plik https://mta-sts.example.com/.well-known/mta-sts.txt (jako text/plain, z ważnym certyfikatem dla mta-sts.example.com, bez przekierowań):
```
version: STSv1
mode: testing
mx: mx1.example.com
mx: *.mail.example.net
max_age: 604800
```
Dodaj rekord TXT: _mta-sts.example.com "v=STSv1; id=20261013T000000".
Dodaj TLS-RPT i przez tydzień lub dwa czytaj raporty.
Jeśli są czyste — przełącz na mode: enforce, zwiększ max_age i koniecznie zmień id w TXT, inaczej nadawcy nie pobiorą polityki ponownie.

Każdy MX domeny musi pasować do jednej z linii mx:. Wzorzec *.mail.example.net obejmuje dokładnie jedną etykietę z lewej: a.mail.example.net — tak, a.b.mail.example.net — nie. Narzędzie porównuje rzeczywiste MX z wzorcami i podświetla niezgodności.

TLS-RPT: jedna linia, która oszczędza godziny

_smtp._tls.example.com. TXT "v=TLSRPTv1; rua=mailto:[email protected]"

Nadawcy obsługujący TLS-RPT raz na dobę wysyłają raport JSON: ile sesji przeszło przez TLS i jakie wystąpiły błędy certyfikatu lub niezgodności z polityką MTA-STS. Rekord ma być jeden; adresy w rua muszą zaczynać się od mailto: lub https://.