BIMI senza certificato.

Brand Indicators for Message Identification (BIMI) ha la fama di essere costoso. Questa reputazione è in parte meritata: un Verified Mark Certificate (VMC) rilasciato da una Certificate Authority costa centinaia di dollari all'anno. Tuttavia, un VMC non è necessario per visualizzare il proprio logo nei client di posta elettronica supportati.

Il BIMI self-asserted funziona già oggi, gratuitamente, su Yahoo Mail e AOL Mail — due piattaforme che insieme raggiungono centinaia di milioni di caselle di posta attive. Se la vostra organizzazione non è ancora pronta a investire in un VMC, il BIMI self-asserted rappresenta il punto di partenza corretto.

Questo articolo spiega esattamente cos'è il BIMI self-asserted, quali client lo supportano e come implementarlo dall'inizio alla fine senza alcun costo.

Cos'è il BIMI self-asserted?

BIMI opera in due modalità:

| Modalità | Certificato richiesto | Client supportati | |---|---|---| | Self-asserted | No | Yahoo Mail, AOL Mail | | Con VMC | Sì (VMC da DigiCert o Entrust) | Gmail, Apple Mail (iOS 16+), Yahoo Mail, AOL Mail, Fastmail |

Nella modalità self-asserted, si pubblica un record DNS BIMI che punta al proprio file SVG del logo. Nessuna certificate authority convalida la proprietà del marchio. Il server di posta ricevente verifica che il dominio superi DMARC a livello di enforcement, quindi recupera e visualizza il logo.

Il compromesso riguarda la copertura, non la funzionalità. Il logo viene visualizzato correttamente su Yahoo Mail e AOL Mail senza alcun certificato. Gmail e Apple Mail richiedono un VMC prima di visualizzare il logo. Se il vostro pubblico utilizza principalmente Yahoo o AOL, oppure se desiderate predisporre la vostra infrastruttura BIMI prima di acquistare un VMC, l'implementazione self-asserted è l'approccio giusto.

Prerequisiti

Prima di creare un record BIMI, il vostro dominio deve soddisfare i seguenti requisiti. Questi vengono applicati dai server di posta riceventi, non da alcuno strumento BIMI.

1. DMARC in enforcement

Il vostro dominio deve avere una policy DMARC di p=quarantine o p=reject. Una policy p=none farà sì che BIMI venga completamente ignorato.

Record DMARC minimo accettabile:

v=DMARC1; p=quarantine; adkim=s; aspf=s;

Record DMARC consigliato per BIMI:

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected];

Importante: p=reject è il segnale più forte ai server riceventi che il vostro dominio è completamente autenticato. L'implementazione BIMI di Yahoo Mail accetta p=quarantine, ma p=reject è la raccomandazione standard del settore ed è richiesto da Gmail quando successivamente aggiungerete un VMC.

Per verificare il vostro attuale record DMARC, interrogate direttamente il DNS:

dig TXT _dmarc.yourdomain.com

2. Allineamento SPF e DKIM

L'enforcement DMARC dipende dal superamento di SPF e DKIM in modalità allineata. Verificate che:

• La vostra infrastruttura di invio sia coperta dal vostro record SPF.
• Le firme DKIM vengano applicate alla posta in uscita e il dominio d= sia allineato con il dominio dell'header From:.
• I vostri report DMARC mostrino una percentuale di successo vicina al 100% prima di procedere.

Implementare BIMI su un dominio con significativi fallimenti DMARC non produrrà una visualizzazione coerente del logo.

3. Un file logo SVG Tiny P/S

BIMI richiede un profilo SVG specifico chiamato SVG Tiny Portable/Secure (SVG Tiny P/S). Un SVG standard esportato da Adobe Illustrator, Figma o Inkscape non funzionerà senza modifiche. La specifica SVG Tiny P/S proibisce:

• Riferimenti esterni e risorse collegate
• Script ed elementi interattivi
• Immagini raster incorporate (elementi )
• Alcuni effetti filtro e animazioni

Il logo deve inoltre essere:

• Con proporzioni quadrate (1:1)
• Ospitato a un URL HTTPS accessibile pubblicamente
• Servito con il tipo MIME corretto (image/svg+xml)

Implementazione passo dopo passo

Passaggio 1 — Preparare il record DMARC

Se il vostro dominio non ha già p=quarantine o p=reject, aggiornate ora il record DMARC. Attendete 24-48 ore per la propagazione DNS prima di procedere.

Non affrettate questo passaggio. Pubblicare un record BIMI prima che DMARC sia in enforcement non produrrà alcuna visualizzazione del logo né alcun errore — il record verrà semplicemente ignorato.

Passaggio 2 — Generare un file SVG Tiny P/S conforme

Questo è il passaggio in cui la maggior parte delle implementazioni fallisce. Convertire un logo in SVG Tiny P/S manualmente richiede la modifica di XML grezzo e la validazione rispetto alla specifica W3C. Gli errori non sono sempre evidenti.

Utilizzate makeBIMI.com per generare gratuitamente un file SVG Tiny P/S conforme. Caricate il vostro logo esistente (PNG, SVG o altro formato) e makeBIMI lo converte in un file SVG Tiny P/S conforme alle specifiche, pronto per l'implementazione BIMI. Non è richiesto alcun account.

Passaggio 3 — Ospitare il file SVG

Caricate il vostro file SVG Tiny P/S su un web server o CDN. Il file deve essere:

1. Accessibile tramite HTTPS (non HTTP).
2. Servito da un URL stabile e permanente. Cambiare l'URL in seguito richiede un aggiornamento del record DNS.
3. Accessibile pubblicamente senza autenticazione o redirect.

Esempio di URL ospitato:

https://bimi.yourdomain.com/logo.svg

Verificate che il file sia accessibile e restituisca il content type corretto:

curl -I https://bimi.yourdomain.com/logo.svg

La risposta dovrebbe includere:

Content-Type: image/svg+xml

Passaggio 4 — Creare il record DNS TXT BIMI

I record BIMI vengono pubblicati come record DNS TXT in un sottodominio specifico. Il formato è:

default._bimi.yourdomain.com

Formato del record:

v=BIMI1; l=https://bimi.yourdomain.com/logo.svg;

Per il BIMI self-asserted (senza certificato), il tag a= authority evidence viene omesso completamente o lasciato vuoto. Non includete un valore segnaposto.

Riepilogo del record DNS:

| Campo | Valore | |---|---| | Tipo | TXT | | Nome / Host | default._bimi | | Valore | v=BIMI1; l=https://bimi.yourdomain.com/logo.svg; | | TTL | 3600 (o il valore predefinito del vostro registrar) |

Nota: makeBIMI.com genera il valore del record DNS TXT correttamente formattato insieme al file SVG. Copiatelo direttamente nel pannello di controllo del vostro provider DNS.

Passaggio 5 — Verificare l'implementazione

Dopo la propagazione del DNS (tipicamente 1-24 ore), verificate che il vostro record BIMI venga risolto correttamente:

dig TXT default._bimi.yourdomain.com

L'output atteso include il valore del vostro record:

default._bimi.yourdomain.com. 3600 IN TXT "v=BIMI1; l=https://bimi.yourdomain.com/logo.svg;"

Inviate un'email di prova dal vostro dominio a un indirizzo Yahoo Mail e confermate che il logo appaia nella posizione dell'avatar del mittente.

Errori comuni di implementazione

| Sintomo | Causa probabile | |---|---| | Il logo non appare su Yahoo Mail | DMARC è p=none, oppure il file SVG non è conforme a SVG Tiny P/S | | Il record DNS viene risolto ma il logo è vuoto | SVG ospitato tramite HTTP, non HTTPS; oppure tipo MIME errato | | Il logo appare distorto o ritagliato | Il viewBox dell'SVG non è quadrato