Перевірка BIMI, MTA-STS і TLS-RPT

Логотип бренду в поштових клієнтах (BIMI), обов'язкове шифрування вхідної пошти (MTA-STS) і звіти про помилки TLS (TLS-RPT) — перевіримо все за один запуск.

Коротко про інструмент

Ціна: Безкоштовно
Реєстрація: Не потрібна
Де відбувається обробка: На нашому сервері: DNS-запити; через HTTPS (із захистом від SSRF, без редиректів) завантажуємо лише політику MTA-STS, SVG-логотип і PEM-сертифікат
Що приймає: Домен і за потреби BIMI-селектор (за замовчуванням default)
Ліміти: 8 перевірок на хвилину, денного ліміту немає; файли: політика до 64 КБ, логотип до 1 МБ, сертифікат до 256 КБ
Результат: Три блоки: BIMI (запис, прев'ю логотипа, перевірки SVG, сертифікат VMC/CMC, DMARC), MTA-STS (TXT, політика, MX проти шаблонів), TLS-RPT; що виправити
Оновлено: 2026-10-13

Альтернативи

Інші інструменти для того самого завдання і в чому кожен із них сильний:

MxToolbox BIMI Lookup — Знаходить BIMI-запис і проганяє по ньому набір діагностичних перевірок; для MTA-STS у MxToolbox є окремий MTA-STS Lookup.
BIMI Group BIMI Inspector — Інструмент робочої групи BIMI: перевіряє формат запису й те, що DMARC у режимі enforcement; SVG і сертифікат марки, за словами самої сторінки, не перевіряє.
URIports MTA-STS Validator — Перевіряє DNS-запис і файл політики MTA-STS та їхній синтаксис; у сервісу є також валідатори BIMI і DANE та платний моніторинг звітів.
EasyDMARC BIMI Lookup — Знаходить BIMI-запис, перевіряє логотип і VMC та показує, як логотип виглядатиме в різних умовах.

Коли обрати цей інструмент: Коли треба перевірити BIMI, MTA-STS і TLS-RPT одним запуском — одразу з вимогою DMARC, прев'ю логотипа й звіркою MX із політикою, без реєстрації та чотирма мовами.

Описи звірено із сайтами цих інструментів у жовтні 2026 року.

Перевірка BIMI, MTA-STS і TLS-RPT

Інструмент перевіряє три поштові стандарти понад SPF, DKIM і DMARC за один запуск. BIMI — TXT-запис, SVG-логотип (базові вимоги профілю SVG Tiny PS), сертифікат марки VMC або CMC і обов'язковий DMARC з p=quarantine або p=reject. MTA-STS — TXT-запис _mta-sts, файл політики через HTTPS і відповідність MX-серверів її шаблонам. TLS-RPT — запис _smtp._tls і адреси для звітів. Безкоштовно, без реєстрації.

BIMI: запис, прев'ю логотипа, базова перевірка SVG Tiny PS

Сертифікат VMC/CMC: строк, власник, призначення BIMI, домен у SAN

MTA-STS: TXT, файл політики, режим, max_age, MX проти шаблонів

TLS-RPT і вимога DMARC для BIMI

Як користуватися

Введіть домен, з якого надсилаєте пошту
BIMI-селектор потрібен, лише якщо він не default
Виправте помилки в кожному блоці: BIMI, MTA-STS, TLS-RPT

FAQ

Найчастіше не виконано одну з умов: DMARC з p=quarantine або p=reject (без pct менше 100), SVG у профілі Tiny PS за адресою https, сертифікат марки VMC або CMC в a=. Навіть коли все гаразд, Gmail та інші сервіси самі вирішують, чи показувати логотип, враховуючи репутацію відправника, а після змін логотип з'являється не одразу. Перевірте всі три умови тут, а вимоги конкретного сервісу — в його документації.

Це урізаний профіль SVG для BIMI: у корені <svg> мають бути version="1.2" і baseProfile="tiny-ps", усередині — <title> з назвою бренду; заборонено скрипти, растрові картинки, зовнішні посилання, анімацію та атрибути x/y у кореня. Логотип має бути квадратним і, за рекомендацією BIMI, не більше 32 КБ. Звичайний експорт із графічного редактора ці вимоги не виконує — потрібен конвертер або ручне редагування. Наша перевірка базова й не замінює валідацію в центрі сертифікації.

MTA-STS (RFC 8461) змушує відправників доставляти пошту на ваші MX лише через TLS із дійсним сертифікатом. Потрібні дві речі: TXT-запис _mta-sts.домен зі значенням v=STSv1; id=… і файл https://mta-sts.домен/.well-known/mta-sts.txt з рядками version: STSv1, mode, mx (по одному на кожен MX або шаблон *.) і max_age. Файл віддається через HTTPS із дійсним сертифікатом, без редиректів. Почніть із mode: testing і TLS-RPT, а коли звіти чисті — перемкніть на enforce і змініть id.

TLS-RPT (RFC 8460) — це адреса, куди відправники (наприклад, Google) раз на добу надсилають зведення: скільки сесій з вашими MX пройшли через TLS і які були помилки — прострочений сертифікат, невідповідність політиці MTA-STS тощо. Без нього ви дізнаєтеся про проблеми із шифруванням лише за втраченими листами. Запис простий: _smtp._tls.домен TXT "v=TLSRPTv1; rua=mailto:адреса".

Безкоштовно, без реєстрації, до 8 перевірок на хвилину. Окрім DNS-запитів ми завантажуємо лише три файли: політику MTA-STS (до 64 КБ), SVG-логотип (до 1 МБ) і PEM-сертифікат із запису BIMI (до 256 КБ) — через HTTPS, без переходу за редиректами й лише з публічних адрес.

Три стандарти понад SPF, DKIM і DMARC

Стандарт	Навіщо	Де опубліковано
BIMI	Логотип бренду поруч із листом у поштовому клієнті	TXT `default._bimi.домен` + SVG і сертифікат через HTTPS
MTA-STS	Вхідна пошта — лише через TLS із дійсним сертифікатом	TXT `_mta-sts.домен` + файл політики через HTTPS
TLS-RPT	Щоденні звіти про проблеми TLS від відправників	TXT `_smtp._tls.домен`

BIMI: що потрібно, щоб логотип з'явився

DMARC у режимі захисту: p=quarantine або p=reject, без pct менше 100. З p=none логотип не покаже ніхто — перевірте політику в перевірці DMARC.
Логотип у SVG Tiny PS за адресою https: квадратний, з <title>, без скриптів, растрових вставок і зовнішніх посилань, у корені version="1.2" і baseProfile="tiny-ps".
Сертифікат марки — VMC (для зареєстрованої торговельної марки) або CMC — у форматі PEM за адресою https. Без нього Gmail логотип не покаже; в інших поштових сервісів свої правила.

Запис BIMI:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

Навіть за правильного налаштування поштовий сервіс сам вирішує, чи показувати логотип: враховується репутація відправника, і зміни з'являються не одразу. Наша перевірка SVG — базова: вона ловить часті помилки, але не замінює валідацію в центрі сертифікації.

MTA-STS: як увімкнути без втрати листів

Без MTA-STS відправники шифрують пошту до вас «якщо вийде»: STARTTLS можна вирізати дорогою, і лист піде відкритим текстом. MTA-STS публікує політику: «доставляйте лише через TLS на ці MX».

Опублікуйте файл https://mta-sts.example.com/.well-known/mta-sts.txt (віддається як text/plain, із дійсним сертифікатом для mta-sts.example.com, без редиректів):
```
version: STSv1
mode: testing
mx: mx1.example.com
mx: *.mail.example.net
max_age: 604800
```
Додайте TXT: _mta-sts.example.com "v=STSv1; id=20261013T000000".
Додайте TLS-RPT і тиждень-два читайте звіти.
Якщо помилок немає — змініть на mode: enforce, збільште max_age і обов'язково змініть id у TXT, інакше відправники не перечитають політику.

Кожен MX домену має збігатися з одним із рядків mx:. Шаблон *.mail.example.net покриває рівно одну мітку зліва: a.mail.example.net — так, a.b.mail.example.net — ні. Інструмент звіряє реальні MX із шаблонами й підсвічує розбіжності.

TLS-RPT: один рядок, що економить години

_smtp._tls.example.com. TXT "v=TLSRPTv1; rua=mailto:[email protected]"

Відправники з підтримкою TLS-RPT раз на добу надсилають JSON-звіт: скільки сесій пройшло через TLS, які були помилки сертифіката чи розбіжності з політикою MTA-STS. Запис має бути один; адреси в rua — mailto: або https://.