VMC 合规的完整搭建流程

随着越来越多 CEO、CMO、CTO 推动收件箱级别的品牌识别，Verified Mark Certificate（VMC，验证标记证书）正迅速成为营销与 IT 团队的战略重点。但当领导层推动举措时，让 VMC 在技术与安全层面真正落地，是 IT 管理员、安全专家与开发者的责任。

如果你计划购买 VMC，需要证明域名级真实性、保护出站邮件，并符合 DMARC、BIMI 等标准。本技术清单将帮助你顺利获取 VMC。我们将引导你完成完整的技术搭建、验证流程与最佳实践，确保顺畅的审批体验。

VMC 分步搭建指南

遵循以下分步说明，获取 VMC 就很直接：

第 1 步：实施 DMARC 认证协议

DMARC 对保护域名的邮件流量至关重要。它构建在 SPF 与 DKIM 之上，因此在实施 DMARC 前必须确保两者均已正确配置。就位后，遵循以下步骤：

开始前

- 你需要访问域名的 DNS 设置。若非自行管理，请向域名管理员求助。
- 使用文本编辑器（例如 Notepad++、Vim、Nano）创建记录。
- 实施 SPF 与 DKIM：在启用 DMARC 前，SPF 与 DKIM 必须正确配置。若这些协议未妥善设置，从你域名发出的邮件可能面临投递问题。配置 SPF 与 DKIM 后，至少等待 48 小时再继续 DMARC。

SPF 设置

- 识别所有从你域名发送邮件的授权 IP 地址，包括：任何第三方邮件服务（如 Google Workspace、Microsoft 365、Mailchimp）、你的 Web 服务器、ISP 邮件服务器、办公室内邮件服务器。
- SPF 记录示例：

v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 include:thirdparty.com -all

- 使用 SPF 验证工具确认正确性。

DKIM 设置

- 为你的域名生成公钥-私钥对：Windows 使用 PUTTYGen，Linux/Mac 使用 ssh-keygen。
- 选择 DKIM 选择器（例如 standard._domainkey.example.com）。选择器名称遵循邮件提供商建议，部分提供商有预定义选择器，例如 Gmail 使用 google._domainkey，Microsoft 使用 selector1._domainkey。请查阅邮件服务文档获取正确格式。
- DKIM 记录示例：

v=DKIM1; p=YourPublicKey

- 将 DKIM 公钥上传到域名的 DNS 配置。

提示：若添加或移除邮件服务，请立即更新 SPF 与 DKIM 的 DNS 记录。过时的 SPF 条目或过期 DKIM 密钥会导致检查失败、DMARC 未对齐与投递问题。

- 为 DMARC 报表设置邮箱：创建群组或邮箱接收并管理 DMARC 报表。收到的报表数量取决于通过你域名发送的邮件量，这些报表会指示来自你域名的邮件是否通过 SPF 与 DKIM 认证。
- 认证第三方邮件发件人：若使用第三方邮件服务，确认其邮件通过 SPF 与 DKIM 检查；将提供商的发送 IP 加入 SPF 记录；确认第三方服务发出的邮件经 DKIM 签名；必要时使用 SMTP relay 设置正确路由出站邮件。
- 准备并监控你的 DMARC 记录：DMARC 记录定义处理未认证邮件的策略并提供报表指令。在强制实施前从监控（p=none）开始以识别问题。

初始 DMARC 记录（监控模式）示例：

v=DMARC1; p=none; rua=mailto:dmarc@example.com

- p=none 允许监控而不拒收邮件。
- rua=mailto:dmarc@example.com 指定报表发送位置。

从监控转向强制实施前，务必确保域名完全满足 VMC 资格所需的 DMARC 就绪标准。监控报表数周并确认所有合法发件人配置妥当后，逐步强制实施 DMARC。

隔离模式示例：

v=DMARC1; p=quarantine; rua=mailto:postmaster@example.com;
ruf=mailto:dmarc@example.com; pct=100; adkim=s; aspf=s; fo=1

- p=quarantine 将未认证邮件移入垃圾邮件而非拒收。
- pct=100 将隔离应用于所有邮件。

完全自信后，转入拒绝模式：

v=DMARC1; p=reject; rua=mailto:postmaster@example.com,
ruf=mailto:dmarc@example.com; pct=100; adkim=s; aspf=s; fo=1.

- p=reject 完全拦截未认证邮件。
- adkim=s; aspf=s 强制严格的 DKIM 与 SPF 对齐。
- rua= 指定接收聚合 DMARC 报表的邮箱。
- ruf= 指定接收取证（失败）报表的邮箱。
- pct=100 将 DMARC 应用于所有邮件。
- fo=1 在 SPF 或 DKIM 任一失败时请求失败报表。

注意：v 与 p 标签必须首先列出，其他标签顺序任意。

- 将 DMARC 记录添加到域名的 DNS：登录域名主机（如 GoDaddy、Hostinger）并更新 DNS TXT 记录。

注意：部分域名主机会自动在记录值末尾追加域名，因此应使用 _dmarc 而非 _dmarc.example.com 创建记录。

- 保存并验证你的 DMARC 记录：保存后，使用在线工具或域名主机的 DNS 设置验证 DMARC 记录，仔细检查格式，确保 DMARC 正确应用于出站邮件。

第 2 步：将 Logo 注册为商标

此要求确认 Logo 已在受认可商标办公室通过法律验证。要检查 Logo 是否已注册，你可以：咨询法律团队；在 World Intellectual Property Organization（WIPO，世界知识产权组织）数据库搜索 Logo 的活跃商标状态。

要注册商标 Logo：

- 检查 Logo 资格——设计须满足商标要求，查阅 USPTO 关于准备提交标记的指南。
- 识别商品与服务——你的商标必须关联具体的业务提供物。
- 进行商标检索——使用相关商标办公室数据库检查 Logo 是否与现有标记冲突。
- 准备并提交申请——收集所有必要细节并提交申请。
- 回应审查员请求——申请被审阅后可能要求补充信息，请快速回应以避免被拒。
- 接收批准或驳回——若批准，你的 Logo 将正式注册并符合 VMC 验证资格。

注意：若 Logo 尚未注册，请尽快启动流程，因为审批可能耗时数月。

第 3 步：准备 SVG Tiny PS 格式的 Logo

VMC 证书中使用的 Logo 文件必须是符合 SVG Tiny Portable/Secure（SVG Tiny PS）格式的 SVG 文件，这是 BIMI 合规与 VMC 验证所必需的规范。Adobe Illustrator 不直接提供此格式的导出选项，因此按以下步骤转换 Logo：

- 将 Logo 转换为矢量格式：若 Logo 当前为栅格格式（如 PNG 或 JPG），必须转换为 SVG 以满足 VMC 要求。设计须简洁以便平滑转换，尤其当 Logo 含复杂元素时，可能需要重建或精炼部分，使其能正确缩放并符合 SVG Tiny PS 标准。
- 导出为 SVG Tiny 1.2：Logo 转为矢量格式后，在 Adobe Illustrator 中：打开矢量文件；点击 文件 → 另存为，选择 SVG (*.SVG) 格式；在 SVG 选项对话框中，将 SVG Profiles 设为 Tiny 1.2，点击确定保存。
- 修改 SVG 代码：导出后，SVG 文件需手动调整——在文本编辑器（如 Notepad、Notepad++ 或 VS Code）打开文件；定位 <SVG> 标签，确认包含以下属性：

<svg version="1.2" baseProfile="tiny-ps" xmlns="http://www.w3.org/2000/svg" viewBox="0 0 1080 1080">

- 若 baseProfile 不是 "tiny-ps"，请修改。
- 移除 x=、y=、overflow 等不必要的属性。
- 在 xml:space="preserve" 之后立即添加 <title> 标签以包含公司名。
- 行尾必须为 LF（Line Feed）格式而非 CR LF，可用文本编辑器转换：视图 → 显示符号 → 显示行尾查看；编辑 → EOL 转换 → Unix (LF) 修正。
- 替代方案：使用自动转换工具：BIMI 工作组提供 Adobe Illustrator 导出脚本，可自动将 SVG Tiny 1.2 转换为 SVG P/S 格式。
- 最佳显示建议：使用 1:1 长宽比（正方形格式）；在画布中居中 Logo；使用非透明背景，避免在不同邮件客户端出现显示问题。

第 4 步：购买并验证你的 VMC 证书

一旦域名 DMARC 合规、商标 Logo 准备为正确的 SVG 格式，下一步是从受信任的证书颁发机构购买 VMC。立海世纪是 DigiCert 授权合作伙伴，以具竞争力价格提供 DigiCert VMC 证书，并在整个验证流程中提供端到端协助。

发起购买后，DigiCert（发证 CA）开始严格的验证流程以核实你的组织与 Logo 权利，包括：

- 商标验证——DigiCert 确认提交的 Logo 与官方注册商标一致。
- 组织验证——通过公开记录与官方文件核实企业的合法存续与身份。
- 身份验证——申请证书的个人须提交经公证的政府签发 ID，并与验证团队完成视频或线下验证通话。

所有验证检查成功完成后，DigiCert 签发你的 VMC，使 Logo 在受支持的收件箱中与品牌发件人名一同出现。

为何选择立海世纪

- DigiCert 官方合作伙伴，全球覆盖
- 从购买到最终签发的分步指导
- SVG Logo 合规、DMARC 验证与文档协助
- 具竞争力价格 + PKI 专家支持

第 5 步：将 VMC 证书托管到公共服务器

VMC 获批后，证书颁发机构会将实体证书以 PEM 格式通过邮件发给你。将 PEM 文件上传到公开可访问的 HTTPS 位置后，复制确切 URL，BIMI 记录会用到它。

第 6 步：准备并更新你的 BIMI DNS 记录

要为域名启用 BIMI，需创建并更新一条 BIMI DNS TXT 记录，将品牌 Logo 与 VMC 链接到域名，确保 Logo 在受支持的邮件客户端中显示。

- 创建 BIMI DNS TXT 记录：BIMI TXT 记录遵循特定格式，包含 Logo 与 VMC 证书的 URL：

v=BIMI1;l=https://yourdomain.com/path-to-logo.svg;a=https://yourdomain.com/path-to-certificate.pem

- l=（Logo）：SVG 格式 Logo 的直接 URL。
- a=（Authority）：PEM 文件（VMC 证书）的 URL。

注意：部分邮件提供商仅用 SVG Logo（l=）即支持 BIMI，但 Gmail 需要 SVG Logo 与 PEM 证书（a=）两者才能正确显示。

- 将 BIMI TXT 记录添加到 DNS：登录域名提供商的 DNS 管理面板并添加以下值：

- 记录类型：TXT
- 主机：default._bimi.yourdomain.com
- 值：v=BIMI1;l=https://yourdomain.com/path-to-logo.svg;a=https://yourdomain.com/path-to-certificate.pem
- TTL：1 小时（3600 秒）

第 7 步：测试并监控你的搭建

设置 BIMI 记录并上传 VMC 证书后，建议测试一切并监控域名的认证状态。

验证 BIMI 搭建

- 允许最多 48 小时传播。
- 使用 BIMI 查询工具（Google Admin Toolbox、Valimail BIMI Checker）确认记录正确设置。
- 发送测试邮件，检查 Logo 是否出现在收件人收件箱。

监控 DMARC 报表
定期检查 DMARC 报表，确保 SPF 与 DKIM 对齐保持完好。若认证失败，Logo 可能不在收件箱显示。

结论：VMC 搭建对品牌信任具有战略意义

实施 VMC 不只是勾选技术框，更是对品牌可信度、邮件安全与收件人信任的长期投资。借助 DMARC 强制实施与商标 Logo，你的品牌在邮件被打开前就脱颖而出，客户知道他们面对的是真实的你。若在任一阶段需要帮助——无论是配置 DNS 记录、转换 Logo，还是走通验证流程——立海世纪团队随时提供指导。

技术常见问题——VMC 搭建与配置

若我的 DMARC 策略未设为 'quarantine' 或 'reject' 会怎样？
Gmail 等 BIMI 合规提供商要求 p=quarantine 或 p=reject 策略以确保强域名级邮件认证。请更新 DMARC 记录，否则你的域名不符合 VMC 资格。

如何将 Logo 转换为 SVG Tiny PS 格式？
可使用 Adobe Illustrator 或其他矢量工具转换。将 Logo 保存为 SVG Tiny 1.2 格式，再手动编辑代码以匹配 Tiny Portable/Secure（Tiny PS）配置文件，包括设置正确的 <svg> 属性、移除不支持的元素并确保正确的行尾。需要帮助？立海世纪提供免费的 Logo 转换协助。

应在哪里托管 BIMI DNS 记录所用的 SVG Logo 与 VMC 证书文件？
两个文件都必须通过 HTTPS 公开可访问。将 SVG Logo 与 VMC 证书（PEM 文件）托管在安全 Web 服务器上，最好位于你的域名之下（例如 https://yourdomain.com/assets/logo.svg）。避免使用受限 URL、重定向或认证。

如何测试 BIMI 记录与 VMC 是否正确配置？
使用可靠的 BIMI 查询工具检查 BIMI 记录、Logo URL 与 VMC 证书是否正确设置；也可发送测试邮件到支持 BIMI 的收件箱，查看 Logo 是否出现。