BIMI: כיצד פועל תקן Brand Indicators for Message Identification

BIMI הוא ראשי תיבות של Brand Indicators for Message Identification. זהו תקן אימות דואר אלקטרוני המאפשר לשולח לפרסם לוגו מותג לצורך הערכה על ידי ספקי תיבות דואר תומכים, ובמקום שמדיניותם הפנימית מתירה זאת — הצגתו לצד הודעות השולח.

BIMI אינו פיצ’ר העלאת תמונות. הוא מבוסס על דואר אלקטרוני מאומת, DNS, פורמט SVG מוגבל ומדיניות מקבל. רשומת BIMI תקינה אינה מחייבת תיבת דואר נכנס להציג לוגו. ספקי תיבות דואר מקבלים החלטות עצמאיות לגבי דומיינים בודדים.[1]

המסלול המעשי כולל ארבעה שלבים:

1. אימות דומיין השליחה ואכיפת DMARC;
2. הכנת לוגו תקין בפורמט SVG Tiny Portable/Secure;
3. פרסום רשומת ה-BIMI assertion ובמידת הצורך קובץ תעודה; וכן
4. בדיקת הדומיין לאחר הפריסה, במקום להניח שהפרסום לבדו מספיק.

הרץ ביקורת BIMI לדומיין או אמת לוגו לפני שינוי DNS.

מה עושה BIMI

רשומת BIMI assertion מזהה את מיקום קובץ הלוגו ובמידת הרלוונטיות גם את מיקום קובץ התעודה. מקבל תומך יכול לאחזר משאבים אלה, להעריך אותם יחד עם אימות השולח, ולהחליט אם לרנדר את האינדיקטור.

התוצאה היא זהות שולח מוכרת בתיבת הדואר הנכנס של הנמען. עם זאת, המטרה הבסיסית היא חיזוק אימות השולח. BIMI תלוי ב-DMARC; הוא אינו מחליף את DMARC, SPF או DKIM.

מה BIMI אינו עושה

BIMI אינו מבטיח הגעה לתיבת הדואר הנכנס, מוניטין שולח, או הצגת לוגו. רשומה תקינה מבחינה טכנית עדיין עשויה שלא להוצג אם ספק הדואר המקבל מיישם מדיניות שונה, אם לא ניתן לאחזר משאב או לאמתו, או אם ההודעה אינה עומדת בתנאי האימות של המקבל. לפיכך, יש ליישם BIMI כחלק מתוכנית דואר אלקטרוני מאומת רחבה יותר, ולא כקיצור דרך קוסמטי.[1]

מסלול היישום

1. אכיפת DMARC

לפי תהליך BIMI המתועד של Google, יש להגדיר DMARC עם מדיניות p=quarantine או p=reject ו-pct=100; הגדרת p=none אינה מתאימה.[2] SPF או DKIM חייבים גם לאמת את הדואר באופן שעונה על דרישות יישור DMARC.

אם הדומיין עדיין במצב ניטור, יש להתחיל בתוכנית DMARC מבוקרת. DMARCSwiss הוא שירות התיק לניטור מתמשך של דוחות מצטברים ולהתקדמות במדיניות. דף זה אינו מתייחס ל-p=none כמוכן ל-BIMI.

קרא את מדריך דרישות DMARC המפורט.

2. הכנת לוגו SVG Tiny P/S

BIMI משתמש בפרופיל SVG מוגבל המיועד לרינדור בטוח בסביבה רגישה לאבטחה. ייצוא מכלי עיצוב סטנדרטיים מכיל לעיתים קרובות אלמנטים לא נתמכים, הפניות חיצוניות, סקריפטים, אנימציות, או גאומטריה הדורשת נרמול.

ההנחיות שפרסמה Google כוללות דרישות SVG Tiny P/S ותנאים ספציפיים ל-Gmail, לרבות ממדי פיקסל מוחלטים והמלצות לגבי הצגה ריבועית, רקעים מלאים, גודל קובץ ואלמנט desc.[2]

makeBIMI ממיר ומאמת נכסי SVG מול האילוצים הטכניים הרלוונטיים. התוצאה היא אימות טכני, ולא הבטחה שרשות תעודה או ספק תיבת דואר יקבלו את הפריסה הסופית.

המר או אמת לוגו · קרא את מדריך SVG Tiny P/S · קרא את התקן הטכני

3. פרסום רשומת BIMI

רשומת BIMI assertion ברירת מחדל מפורסמת בכתובת:

default._bimi.example.com

דוגמה לרשומה:

v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem

תג v= מצהיר על גרסת BIMI. תג l= מזהה את ה-SVG המאוחסן. תג a= מזהה את קובץ התעודה כאשר יישום המקבל דורש זאת.

המשאבים חייבים להיות נגישים לציבור באמצעות HTTPS ועליהם להישאר יציבים לאחר הפרסום. הנחיות Google מסבירות את בניית קובץ התעודה וקובעות שתעודת הישות, תעודות הביניים ותעודת הבסיס מצורפות בדרך כלל בסדר זה כאשר נעשה שימוש בקובץ PEM.[2]

קרא את מדריך רשומת BIMI ב-DNS לפני פרסום רשומה פעילה.

4. קביעה האם נדרשת תעודה

דרישות המקבל משתנות. Google מתעדת VMC או CMC לצורך הגדרת BIMI שלה, וקובעת שסימן האימות המאושר של Gmail משויך ל-VMC.[2] VMC מבוסס על לוגו רשום כסימן מסחרי ועל תהליך אימות מחמיר. CMC עשוי להיות זמין למקרים שאינם סימן מסחרי ועומדים בדרישות הגדרה, בכפוף לדרישות רשות התעודות והמקבל הנוכחיות.

הניסוח המאושר לגבי מנפיקי VMC פעילים הוא: DigiCert ו-Entrust הם מנפיקי ה-VMC הפעילים. אין להסתמך על רשימות מנפיקים היסטוריות או להניח שסוג תעודה כלשהו מייצר את אותה תוצאה אצל המקבל.

קרא את מדריך VMC ו-CMC · השווה VMC ו-CMC · פנה ל-veriBIMI

מדיניות המקבל חשובה

תקן BIMI מעניק למקבלים דרך משותפת לאחזר ולהעריך מידע על לוגו. הוא אינו מסיר את שיקול הדעת של המקבל. קבוצת BIMI קובעת במפורש שספק תיבת דואר אינו נדרש להציג לוגו עבור דומיין המשתמש ב-BIMI, ויכול לקבל החלטות מקומיות לגבי דומיינים בודדים.[1]

מסיבה זו, makeBIMI יתחזק מטריצת דרישות מקבלי BIMI ממוינת לפי תאריך. היא תפריד בין דרישות ספק מתועדות לבין כללי תקן כלליים, ותסמן התנהגות לא ודאית או לא מתועדת ככזו. לא יסיק תמיכה מצילומי מסך, טענות צד שלישי, או פוסטי בלוג מיושנים.

סיבות נפוצות לכך שלוגו אינו מופיע

הגורמים הרגילים הם פשוטים:

• DMARC עדיין מוגדר ל-p=none, או שזרם השליחה אינו מיושר.
• ה-SVG מכיל תוכן אסור או אינו עומד באילוצים המתועדים של המקבל.
• רשומת BIMI assertion פגומה, פורסמה תחת סלקטור שגוי, או שטרם נראית ב-DNS.
• לא ניתן לאחזר בצורה מאובטחת את קובץ ה-SVG או ה-PEM המאוחסנים.
• שרשרת התעודות או הקשר עם הלוגו אינם עוברים אימות.
• פלטפורמת שליחה של צד שלישי אינה מוגדרת לאימות מיושר.
• ספק הדואר המקבל אינו מציג את האינדיקטור עבור ההודעה או הדומיין הספציפיים.

השתמש בביקורת BIMI כדי לבחון את תצורת הדומיין הנצפית, ולאחר מכן עקוב אחר המדריך הטכני המתאים במקום לשנות מספר פרמטרים בבת אחת.

רצף יישום מסודר

מדריכי יישום קשורים

• תקן BIMI הטכני
• תמיכת לקוחות דואר אלקטרוני ב-BIMI
• BIMI עם שולחי צד שלישי ו-ESPs
• כיצד לבדוק אם BIMI פועל
• מדוע לוגו BIMI אינו מוצג
• BIMI ו-Microsoft Outlook

שאלות נפוצות

האם BIMI פועל ללא אכיפת DMARC?

לא בתהליך BIMI המתועד של Google. Google דורשת מדיניות DMARC של p=quarantine או p=reject ו-pct=100, ולא p=none.[2]

האם SVG רגיל מספיק?

לא. BIMI משתמש בפרופיל SVG Tiny P/S מוגבל. לוגו שמתרנדר באתר אינטרנט עדיין עשוי לכלול אלמנטים שאינם עומדים באילוצי BIMI. יש לאמת את הנכס המאוחסן הסופי במקום להניח שייצוא מכלי עיצוב מתאים.

האם רשומת BIMI תקינה מבטיחה הצגת לוגו בכל תיבת דואר?

לא. הצגה אצל המקבל נותרת שיקול דעת של המקבל. קבוצת BIMI מציינת שספקים עשויים לקבל החלטות מקומיות לגבי דומיינים בודדים.[1]

אילו מנפיקי VMC פעילים?

לתכני התיק, יש להשתמש בניסוח הנוכחי המאושר: DigiCert ו-Entrust הם מנפיקי ה-VMC הפעילים. דרישות תעודה ומקבל עשויות להשתנות, לכן יש לאמת את הדרישות הנוכחיות לפני הגשת בקשה.

מקורות

[1] BIMI Group — Mailbox Providers

[2] Google Workspace Admin Help — Set up BIMI

[3] BIMI Group — Supporting Documents