BIMI über Cloudflare DNS hosten — Dashboard, API und Workers

SVG Tiny PS Logo auf eigenem Webspace oder CDN hosten

Cloudflare DNS hostet keinen statischen Webserver — das SVG-Logo (SVG Tiny Portable/Secure, baseProfile=tiny-ps, quadratischer viewBox, deckender Hintergrund, keine animate/script/externe Referenzen) muss separat gehostet werden. Empfohlene Optionen im Cloudflare-Ökosystem: Cloudflare Pages (kostenlos, automatisches HTTPS, Custom Domain), Cloudflare R2 (S3-kompatibler Object Storage mit Public Bucket und Custom-Domain-Binding) oder Cloudflare Workers (Edge-Function mit direkter SVG-Response). Außerhalb von Cloudflare funktionieren Bunny.net, eigener IONOS/Hetzner-Webspace oder ein Azure Blob Storage mit Custom-Domain-Mapping ebenso — wichtig ist HTTPS mit gültigem TLS-Zertifikat und Content-Type image/svg+xml.

Cloudflare API und Workers für programmatisches BIMI-Management

Für Multi-Tenant-Setups (Agenturen, MSPs, Plattformen mit vielen Kundendomains) ist das manuelle Anlegen über das Dashboard nicht skalierbar. Die Cloudflare API bietet einen REST-Endpunkt für DNS-Records: POST /zones/{zone_id}/dns_records für Initial-Anlage, PATCH /zones/{zone_id}/dns_records/{record_id} für Logo-/VMC-Rotation, GET /zones/{zone_id}/dns_records?type=TXT&name=default._bimi.ihre-domain.de zum Auslesen der Record-ID. Authentifizierung per API-Token mit den Scopes Zone:Read und DNS:Edit (kein Account-API-Key — Token mit minimalem Scope ist Pflicht).

# BIMI-Record per Cloudflare API anlegen (Initial-Setup)
# Doku: https://developers.cloudflare.com/api/
curl -X POST \
  "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "type": "TXT",
    "name": "default._bimi",
    "content": "v=BIMI1; l=https://ihre-domain.de/bimi/logo.svg; a=https://ihre-domain.de/bimi/vmc.pem",
    "ttl": 3600,
    "comment": "BIMI v1 — Logo + VMC für Gmail-Häkchen"
  }'

# Logo-/VMC-Rotation per PATCH (z.B. nach VMC-Renewal nach 397 Tagen)
curl -X PATCH \
  "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records/$RECORD_ID" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "content": "v=BIMI1; l=https://ihre-domain.de/bimi/logo-v2.svg; a=https://ihre-domain.de/bimi/vmc-2027.pem"
  }'

# RECORD_ID per GET ermitteln (Filter nach Name)
curl -X GET \
  "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records?type=TXT&name=default._bimi.ihre-domain.de" \
  -H "Authorization: Bearer $CF_API_TOKEN"

# DNSSEC-Status (Algorithmus 13 ECDSAP256SHA256) verifizieren
curl -X GET \
  "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec" \
  -H "Authorization: Bearer $CF_API_TOKEN"
# Erwartet (Auszug): "algorithm": "13", "digest_type": "2", "status": "active"

Für noch tiefere Automatisierung bieten Cloudflare Workers ein Edge-Programmiermodell: Ein Worker kann bei einem VMC-Renewal-Event (Webhook von DigiCert) automatisch die neue VMC-URL im BIMI-Record per Cloudflare-API-Call patchen, parallel den TLSA-Record am MX-Host aktualisieren und ein Audit-Log in einen Cloudflare-KV-Namespace schreiben. Zusätzlich validieren Sie mit dem Wolf-Agents Email Security Check — dieser erkennt Cloudflare-DNS automatisch über das NS-Pattern *.ns.cloudflare.com, unterscheidet Email Routing (MX route1-3.mx.cloudflare.net) vom externen Mail-Backend, validiert den BIMI-Record gegen Internet-Draft V14, prüft SVG-Tiny-PS-Konformität und VMC-Erreichbarkeit. Das Monitoring überwacht alle 6 Stunden auf BIMI-Drift.