BIMI: Brand Indicators for Message Identification의 작동 원리

BIMI는 Brand Indicators for Message Identification의 약자입니다. 이는 발신자가 브랜드 로고를 게시하여 지원하는 메일함 제공업체가 자체 정책이 허용하는 경우 발신자 메시지 옆에 표시할 수 있도록 평가하게 하는 이메일 인증 표준입니다.

BIMI는 이미지 업로드 기능이 아닙니다. 인증된 이메일, DNS, 제한된 SVG 형식, 그리고 수신자 정책 위에 구성됩니다. 올바른 BIMI 레코드가 있다고 해서 받은 편지함에 로고 표시가 강제되지는 않습니다. 메일함 제공업체는 개별 도메인에 대해 독자적인 결정을 내립니다.[1]

실질적인 구현 경로는 네 부분으로 구성됩니다:

1. 발신 도메인을 인증하고 DMARC를 시행합니다.
2. 유효한 SVG Tiny Portable/Secure 로고를 준비합니다.
3. BIMI 어서션 레코드와 필요한 경우 인증서 파일을 게시합니다.
4. 게시만으로 충분하다고 가정하지 말고 배포된 도메인을 직접 테스트합니다.

DNS를 변경하기 전에 BIMI 도메인 감사 실행이나 로고 유효성 검사를 먼저 수행하세요.

BIMI의 역할

BIMI 어서션 레코드는 로고 파일의 위치와 해당되는 경우 인증서 파일의 위치를 식별합니다. 지원하는 수신자는 해당 리소스를 가져와 발신자 인증과 함께 평가하고, 지표를 렌더링할지 여부를 결정할 수 있습니다.

결과적으로 수신자의 받은 편지함에서 인식 가능한 발신자 ID가 표시됩니다. 그러나 근본적인 목적은 더 강력한 발신자 인증입니다. BIMI는 DMARC에 의존하며, DMARC, SPF, 또는 DKIM을 대체하지 않습니다.

BIMI가 하지 않는 것

BIMI는 받은 편지함 배달, 발신자 평판, 또는 로고 표시를 보장하지 않습니다. 기술적으로 유효한 레코드라도 수신 제공업체가 다른 정책을 적용하거나, 리소스를 가져오거나 검증할 수 없거나, 메시지가 수신자의 인증 조건을 충족하지 못하는 경우 표시되지 않을 수 있습니다. 따라서 BIMI는 단순한 시각적 개선책이 아닌 더 광범위한 인증 이메일 프로그램의 일환으로 구현해야 합니다.[1]

구현 경로

1. DMARC 시행

Google의 문서화된 BIMI 워크플로에서 DMARC는 p=quarantine 또는 p=reject 정책과 pct=100으로 구성되어야 하며, p=none은 자격을 충족하지 않습니다.[2] SPF 또는 DKIM도 DMARC 정렬을 충족하는 방식으로 메일을 인증해야 합니다.

도메인이 아직 모니터링 모드에 있다면 통제된 DMARC 프로그램으로 시작하십시오. DMARCSwiss는 지속적인 집계 보고서 모니터링 및 정책 진행을 위한 포트폴리오 서비스입니다. 이 페이지에서는 p=none을 BIMI 준비 완료 상태로 취급하지 않습니다.

자세한 DMARC 요구사항 가이드를 읽어보세요.

2. SVG Tiny P/S 로고 준비

BIMI는 보안에 민감한 환경에서 안전한 렌더링을 위해 설계된 제한된 SVG 프로파일을 사용합니다. 표준 디자인 도구 내보내기에는 지원되지 않는 요소, 외부 참조, 스크립트, 애니메이션, 또는 정규화가 필요한 기하학적 요소가 포함되는 경우가 많습니다.

Google의 게시된 가이드에는 SVG Tiny P/S 요구사항과 Gmail 전용 조건이 포함되어 있으며, 절대 픽셀 치수, 정사각형 표시, 단색 배경, 파일 크기, desc 요소에 대한 권고사항도 다루고 있습니다.[2]

makeBIMI는 관련 기술 제약 조건에 따라 SVG 자산을 변환하고 검증합니다. 결과물은 기술적 유효성 검사이며, 인증 기관이나 메일함 제공업체가 최종 배포를 수락한다는 보장이 아닙니다.

로고 변환 또는 유효성 검사 · SVG Tiny P/S 가이드 읽기 · 기술 표준 읽기

3. BIMI 레코드 게시

기본 BIMI 어서션 레코드는 다음 위치에 게시됩니다:

default._bimi.example.com

대표적인 레코드 예시는 다음과 같습니다:

v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem

v= 태그는 BIMI 버전을 선언합니다. l= 태그는 호스팅된 SVG를 식별합니다. a= 태그는 수신자 구현에서 필요한 경우 인증서 파일을 식별합니다.

리소스는 HTTPS를 통해 공개적으로 접근 가능해야 하며, 게시 후에도 안정적으로 유지되어야 합니다. Google의 가이드는 인증서 파일 구성 방법을 설명하며, PEM 파일을 사용할 때 일반적으로 엔티티 인증서, 중간 인증서, 루트 인증서 순서로 추가된다고 명시합니다.[2]

라이브 레코드를 게시하기 전에 BIMI DNS 레코드 가이드를 읽어보세요.

4. 인증서 필요 여부 결정

수신자 요구사항은 다릅니다. Google은 BIMI 설정에 VMC 또는 CMC를 문서화하고 있으며, Gmail의 인증 체크마크는 VMC와 연관되어 있다고 명시합니다.[2] VMC는 상표 등록된 로고와 엄격한 검증 과정을 기반으로 합니다. CMC는 현재 인증 기관 및 수신자 요구사항에 따라 상표 등록이 필요 없는 적격 사용 사례에 제공될 수 있습니다.

포트폴리오에서 승인된 현재 VMC 발급 기관 표현은 다음과 같습니다: DigiCert와 Entrust가 현재 활동 중인 VMC 발급 기관입니다. 과거 발급 기관 목록에 의존하거나 특정 인증서 유형이 동일한 수신자 결과를 생성한다고 가정하지 마십시오.

VMC 및 CMC 가이드 읽기 · VMC와 CMC 비교 · veriBIMI에 문의하기

수신자 정책의 중요성

BIMI 표준은 수신자에게 로고 정보를 얻고 평가하는 공통 방법을 제공합니다. 그러나 수신자의 재량을 제거하지는 않습니다. BIMI Group은 메일함 제공업체가 BIMI를 사용하는 도메인에 대해 로고를 표시할 의무가 없으며, 개별 도메인에 대해 독자적인 판단을 내릴 수 있다고 명시적으로 밝히고 있습니다.[1]

이러한 이유로 makeBIMI는 날짜가 기재된 BIMI 수신자 요구사항 매트릭스를 유지할 예정입니다. 이 매트릭스는 문서화된 제공업체 요구사항과 일반 표준 규칙을 분리하고, 불확실하거나 문서화되지 않은 동작은 그렇게 표시합니다. 스크린샷, 제3자 주장, 또는 오래된 블로그 게시물에서 지원 여부를 추론하지 않습니다.

로고가 표시되지 않는 일반적인 원인

일반적인 원인은 다음과 같이 명확합니다:

• DMARC가 여전히 p=none으로 설정되어 있거나 발신 스트림이 정렬되지 않은 경우.
• SVG에 금지된 콘텐츠가 포함되어 있거나 수신자의 문서화된 제약 조건을 충족하지 않는 경우.
• BIMI 어서션 레코드가 잘못 구성되어 있거나, 잘못된 셀렉터 아래 게시되었거나, 아직 DNS에 표시되지 않는 경우.
• 호스팅된 SVG 또는 PEM 파일을 안전하게 가져올 수 없는 경우.
• 인증서 체인 또는 로고 관계가 유효하지 않은 경우.
• 타사 발송 플랫폼이 정렬된 인증을 위해 구성되지 않은 경우.
• 수신 제공업체가 해당 메시지 또는 도메인에 대해 지표를 표시하지 않는 경우.

BIMI 감사를 사용하여 관찰 가능한 도메인 구성을 검사한 다음, 여러 설정을 한꺼번에 변경하는 대신 적절한 기술 가이드를 따르십시오.

체계적인 구현 순서

관련 구현 가이드

• BIMI 기술 표준
• BIMI 이메일 클라이언트 지원
• 타사 발신자 및 ESP와 함께하는 BIMI
• BIMI 작동 여부 확인 방법
• BIMI 로고가 표시되지 않는 이유
• BIMI와 Microsoft Outlook

자주 묻는 질문

DMARC 시행 없이 BIMI가 작동하나요?

Google의 문서화된 BIMI 흐름에서는 작동하지 않습니다. Google은 p=none이 아닌 p=quarantine 또는 p=reject와 pct=100의 DMARC 정책을 요구합니다.[2]

일반 SVG로 충분한가요?

아닙니다. BIMI는 제한된 SVG Tiny P/S 프로파일을 사용합니다. 웹사이트에서 렌더링되는 로고라도 BIMI 제약 조건을 충족하지 않는 요소가 포함될 수 있습니다. 디자인 도구 내보내기가 적합하다고 가정하지 말고 최종 호스팅 자산을 검증하십시오.

유효한 BIMI 레코드가 모든 받은 편지함에 로고를 보장하나요?

아닙니다. 수신자의 표시 여부는 수신자의 결정에 달려 있습니다. BIMI Group은 제공업체가 개별 도메인에 대해 독자적인 판단을 내릴 수 있다고 밝히고 있습니다.[1]

어떤 VMC 발급 기관이 현재 활동 중인가요?

포트폴리오 콘텐츠에는 승인된 현재 표현을 사용하십시오: DigiCert와 Entrust가 현재 활동 중인 VMC 발급 기관입니다. 인증서 및 수신자 요구사항은 변경될 수 있으므로, 신청 전에 현재 요구사항을 확인하십시오.

출처

[1] BIMI Group — Mailbox Providers

[2] Google Workspace Admin Help — Set up BIMI

[3] BIMI Group — Supporting Documents