Проверка BIMI, MTA-STS и TLS-RPT

Логотип бренда в почтовых клиентах (BIMI), обязательное шифрование входящей почты (MTA-STS) и отчёты об ошибках TLS (TLS-RPT) — проверим всё за один запуск.

Коротко об инструменте

Цена: Бесплатно
Регистрация: Не нужна
Где идёт обработка: На нашем сервере: DNS-запросы; по HTTPS (через защиту от SSRF, без редиректов) скачиваем только политику MTA-STS, SVG-логотип и PEM-сертификат
Что принимает: Домен и при необходимости BIMI-селектор (по умолчанию default)
Лимиты: 8 проверок в минуту, дневного лимита нет; файлы: политика до 64 КБ, логотип до 1 МБ, сертификат до 256 КБ
Результат: Три блока: BIMI (запись, превью логотипа, проверки SVG, сертификат VMC/CMC, DMARC), MTA-STS (TXT, политика, MX против шаблонов), TLS-RPT; что исправить
Обновлено: 2026-10-13

Альтернативы

Другие инструменты для той же задачи и в чём каждый из них силён:

MxToolbox BIMI Lookup — Находит BIMI-запись и прогоняет по ней набор диагностических проверок; для MTA-STS у MxToolbox есть отдельный MTA-STS Lookup.
BIMI Group BIMI Inspector — Инструмент рабочей группы BIMI: проверяет формат записи и то, что DMARC в режиме enforcement; SVG и сертификат марки, по словам самой страницы, не проверяет.
URIports MTA-STS Validator — Проверяет DNS-запись и файл политики MTA-STS и их синтаксис; у сервиса есть также валидаторы BIMI и DANE и платный мониторинг отчётов.
EasyDMARC BIMI Lookup — Находит BIMI-запись, проверяет логотип и VMC и показывает, как логотип будет выглядеть в разных условиях.

Когда выбрать этот инструмент: Когда нужно проверить BIMI, MTA-STS и TLS-RPT одним запуском — сразу с требованием DMARC, превью логотипа и сверкой MX с политикой, без регистрации и на четырёх языках.

Описания сверены с сайтами этих инструментов в октябре 2026 года.

Проверка BIMI, MTA-STS и TLS-RPT

Инструмент проверяет три почтовых стандарта сверх SPF, DKIM и DMARC за один запуск. BIMI — TXT-запись, SVG-логотип (базовые требования профиля SVG Tiny PS), сертификат марки VMC или CMC и обязательный DMARC с p=quarantine или p=reject. MTA-STS — TXT-запись _mta-sts, файл политики по HTTPS и соответствие MX-серверов её шаблонам. TLS-RPT — запись _smtp._tls и адреса для отчётов. Бесплатно, без регистрации.

BIMI: запись, превью логотипа, базовая проверка SVG Tiny PS

Сертификат VMC/CMC: срок, владелец, назначение BIMI, домен в SAN

MTA-STS: TXT, файл политики, режим, max_age, MX против шаблонов

TLS-RPT и требование DMARC для BIMI

Как пользоваться

Введите домен, с которого отправляете почту
BIMI-селектор нужен, только если он не default
Исправьте ошибки по каждому блоку: BIMI, MTA-STS, TLS-RPT

FAQ

Чаще всего не выполнено одно из условий: DMARC с p=quarantine или p=reject (без pct меньше 100), SVG в профиле Tiny PS по адресу https, сертификат марки VMC или CMC в a=. Даже когда всё в порядке, Gmail и другие сервисы сами решают, показывать ли логотип, учитывая репутацию отправителя, а после изменений логотип появляется не сразу. Проверьте все три условия здесь, а требования конкретного сервиса — в его документации.

Это урезанный профиль SVG для BIMI: в корне <svg> должны быть version="1.2" и baseProfile="tiny-ps", внутри — <title> с названием бренда; запрещены скрипты, растровые картинки, внешние ссылки, анимация и атрибуты x/y у корня. Логотип должен быть квадратным и, по рекомендации BIMI, не больше 32 КБ. Обычный экспорт из графического редактора эти требования не выполняет — нужен конвертер или ручная правка. Наша проверка базовая и не заменяет валидацию у центра сертификации.

MTA-STS (RFC 8461) заставляет отправителей доставлять почту на ваши MX только по TLS с действительным сертификатом. Нужны две вещи: TXT-запись _mta-sts.домен со значением v=STSv1; id=… и файл https://mta-sts.домен/.well-known/mta-sts.txt со строками version: STSv1, mode, mx (по одной на каждый MX или шаблон *.) и max_age. Файл отдаётся по HTTPS с действительным сертификатом, без редиректов. Начните с mode: testing и TLS-RPT, а когда отчёты чистые — переключите на enforce и поменяйте id.

TLS-RPT (RFC 8460) — это адрес, куда отправители (например, Google) раз в сутки присылают сводку: сколько сессий с вашими MX прошли по TLS и какие ошибки были — просроченный сертификат, несовпадение с политикой MTA-STS и т. п. Без него вы узнаете о проблемах с шифрованием только по потерянным письмам. Запись простая: _smtp._tls.домен TXT "v=TLSRPTv1; rua=mailto:адрес".

Бесплатно, без регистрации, до 8 проверок в минуту. Кроме DNS-запросов мы скачиваем только три файла: политику MTA-STS (до 64 КБ), SVG-логотип (до 1 МБ) и PEM-сертификат из записи BIMI (до 256 КБ) — по HTTPS, без перехода по редиректам и только с публичных адресов.

Три стандарта поверх SPF, DKIM и DMARC

Стандарт	Зачем	Где опубликован
BIMI	Логотип бренда рядом с письмом в почтовом клиенте	TXT `default._bimi.домен` + SVG и сертификат по HTTPS
MTA-STS	Входящая почта — только по TLS с действительным сертификатом	TXT `_mta-sts.домен` + файл политики по HTTPS
TLS-RPT	Ежедневные отчёты о проблемах TLS от отправителей	TXT `_smtp._tls.домен`

BIMI: что нужно, чтобы логотип появился

DMARC в режиме защиты: p=quarantine или p=reject, без pct меньше 100. С p=none логотип не покажет никто — проверьте политику в проверке DMARC.
Логотип в SVG Tiny PS по адресу https: квадратный, с <title>, без скриптов, растровых вставок и внешних ссылок, в корне version="1.2" и baseProfile="tiny-ps".
Сертификат марки — VMC (для зарегистрированного товарного знака) или CMC — в формате PEM по адресу https. Без него Gmail логотип не покажет; у других почтовых сервисов свои правила.

Запись BIMI:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

Даже при правильной настройке почтовый сервис сам решает, показывать ли логотип: учитывается репутация отправителя, и изменения появляются не сразу. Наша проверка SVG — базовая: она ловит частые ошибки, но не заменяет валидацию у центра сертификации.

MTA-STS: как включить без потери писем

Без MTA-STS отправители шифруют почту к вам «если получится»: STARTTLS можно вырезать по дороге, и письмо уйдёт открытым текстом. MTA-STS публикует политику: «доставляйте только по TLS на эти MX».

Опубликуйте файл https://mta-sts.example.com/.well-known/mta-sts.txt (отдаётся как text/plain, с действительным сертификатом для mta-sts.example.com, без редиректов):
```
version: STSv1
mode: testing
mx: mx1.example.com
mx: *.mail.example.net
max_age: 604800
```
Добавьте TXT: _mta-sts.example.com "v=STSv1; id=20261013T000000".
Добавьте TLS-RPT и неделю-две читайте отчёты.
Если ошибок нет — смените mode: enforce, увеличьте max_age и обязательно поменяйте id в TXT, иначе отправители не перечитают политику.

Каждый MX домена должен совпадать с одной из строк mx:. Шаблон *.mail.example.net покрывает ровно одну метку слева: a.mail.example.net — да, a.b.mail.example.net — нет. Инструмент сверяет реальные MX с шаблонами и подсвечивает несовпадения.

TLS-RPT: одна строка, которая экономит часы

_smtp._tls.example.com. TXT "v=TLSRPTv1; rua=mailto:[email protected]"

Отправители, поддерживающие TLS-RPT, раз в сутки присылают JSON-отчёт: сколько сессий прошло по TLS, какие были ошибки сертификата или несовпадения с политикой MTA-STS. Запись должна быть одна; адреса в rua — mailto: или https://.