معيار BIMI
يعرض BIMI أيقونات العلامات التجارية الموثقة في عملاء البريد الإلكتروني عند استيفاء متطلبات المصادقة والسياسة.
ثلاثة متطلبات
يعمل BIMI (مؤشرات العلامة التجارية لتحديد هوية الرسالة) عند تقاطع ثلاثة ضوابط تقنية. أولاً، يجب على النطاق المرسل نشر وفرض سياسة DMARC عند quarantine أو reject. ثانياً، يجب أن يشير سجل DNS TXT عند default._bimi.[domain] إلى صورة SVG عبر HTTPS. ثالثاً، يجب أن يتوافق SVG مع ملف تعريف SVG Tiny Portable/Secure. جميع المتطلبات الثلاثة إلزامية. فشل أي مكون يمنع عرض المؤشر.
المتطلب الأساسي لفرض DMARC
يتطلب BIMI p=quarantine أو p=reject في سجل DMARC للنطاق المؤسسي. سياسة p=none لا تفي بالمتطلب. يتم تقييم سياسات النطاقات الفرعية (sp=) بشكل منفصل إذا نشر نطاق فرعي سجل BIMI خاص به. يجب أن تنجح مصادقة DMARC باستخدام SPF أو DKIM مع مواءمة المعرّف. يضع المتطلب أن البريد غير الموثق لا يمكنه تشغيل عرض المؤشر، مما يقلل من خطر انتحال الهوية.
ملف تعريف SVG Tiny Portable/Secure
يتم تعريف SVG Tiny P/S في RFC 9345 ويقيد SVG إلى مجموعة فرعية محصنة أمنياً. يحظر الملف التعريفي البرامج النصية، ومراجع الموارد الخارجية، والرسوم المتحركة، وتأثيرات التصفية المعقدة. تشمل العناصر المسموح بها الأشكال الأساسية (<path>، <circle>، <rect>)، <title>، <desc>، والتدرجات الثابتة. يجب أن تكون جميع الأنماط سمات عرض أو كتل <style> داخلية—لا يوجد CSS خارجي. يجب أن يعلن جذر <svg> عن مساحة اسم Tiny 1.2 أو 2.0 ويجب أن يتضمن baseProfile="tiny-ps". يجب أن تكون الصور مربعة مع سمة viewBox. يُوصى بأن يكون حجم الملف أقل من 32 كيلوبايت.
لماذا توجد هذه القيود
يلغي الملف التعريفي فئات كاملة من نواقل الهجوم من جانب العميل. يمكن للبرامج النصية التنفيذ في سياق عميل البريد. يمكن للمراجع الخارجية تسريب بيانات المستلم عبر طلبات HTTP أو إدخال حمولات ضارة. يمكن للرسوم المتحركة أن تثير نوبات حساسية للضوء أو تخفي محتوى التصيد الاحتيالي. يمكن لعوامل التصفية استغلال ثغرات محرك العرض. من خلال تقييد SVG إلى الهندسة التصريحية والتدرجات، يسمح الملف التعريفي بالتعبير عن العلامة التجارية مع الحفاظ على تنسيق قابل للتحليل والمراجعة يمكن عرضه بأمان في السياقات الحساسة للأمان.
بنية سجل BIMI
يحتوي سجل DNS TXT عند default._bimi.[domain] على مكونين: v=BIMI1 يعلن عن الإصدار 1 من المواصفات. l=https://example.com/logo.svg يحدد موقع SVG، والذي يجب أن يتم تقديمه عبر HTTPS مع شهادة صالحة. تشير علامة a= الاختيارية إلى Verified Mark Certificate (VMC) للشعارات المسجلة كعلامة تجارية. قد يطلب المستقبلون VMC للعرض. تنسيق السجل محدد بدقة؛ العلامات الزائدة أو أخطاء بناء الجملة تسبب فشل البحث.
تباين التطبيق من جانب المستقبل
BIMI هو إطار قرار من جانب المستقبل، وليس بروتوكول عرض مضمون. تحتفظ Gmail و Yahoo و Fastmail وغيرها بسياسات مستقلة فيما يتعلق بمتطلبات VMC، ومدة التخزين المؤقت، وعرض الصور، وسلوك الرجوع. تعرض بعض المستقبلات المؤشرات فقط للبريد الذي ينجح في كل من SPF و DKIM. يطبق البعض الآخر إشارات سمعة إضافية أو مراجعة يدوية. سجل BIMI الصالح لا يضمن رؤية المؤشر. قد يرفض المستقبلون الصور لأسباب تتجاوز الامتثال التقني، بما في ذلك انتهاكات سياسة المحتوى أو نزاعات العلامات التجارية.
نطاق التحقق من صحة هذه الأداة
تتحقق makeBIMI من التوافق النحوي مع SVG Tiny P/S: بنية المستند، والقائمة البيضاء للعناصر، وقيود السمات، وإعلانات مساحة الاسم، وهندسة viewBox. تتحقق من العناصر المحظورة، والمراجع الخارجية، والبرامج النصية، والرسوم المتحركة. لا تتحقق من صحة بناء جملة سجل DMARC، أو انتشار DNS، أو صلاحية شهادة HTTPS، أو أصالة VMC، أو حقوق العلامة التجارية، أو معايير القبول الخاصة بالمستقبل. لا تضمن أن أي مستقبل بريد إلكتروني سيعرض مؤشرك. يؤكد التحقق الأهلية التقنية، وليس نجاح النشر.
تحقق من صحة SVG الخاص بك مقابل ملف تعريف Tiny P/S أو راجع تكوين DMARC الخاص بك.