BIMI: Jak działa Brand Indicators for Message Identification

BIMI to skrót od Brand Indicators for Message Identification. Jest to standard uwierzytelniania poczty elektronicznej, który umożliwia nadawcy opublikowanie logo marki, aby obsługujące go dostawcy skrzynek pocztowych mogli je ocenić i — jeśli pozwalają na to ich własne zasady — wyświetlić obok wiadomości nadawcy.

BIMI nie jest funkcją przesyłania obrazów. Działa w oparciu o uwierzytelnioną pocztę e-mail, DNS, ograniczony format SVG oraz politykę odbiorcy. Poprawny rekord BIMI nie zobowiązuje skrzynki odbiorczej do wyświetlenia logo. Dostawcy skrzynek pocztowych podejmują własne decyzje w odniesieniu do poszczególnych domen.[1]

Praktyczna ścieżka wdrożenia składa się z czterech części:

1. uwierzytelnienie domeny wysyłającej i egzekwowanie DMARC;
2. przygotowanie prawidłowego logo SVG Tiny Portable/Secure;
3. opublikowanie rekordu potwierdzającego BIMI oraz, gdy jest to wymagane, pliku certyfikatu; a także
4. przetestowanie wdrożonej domeny, zamiast zakładania, że sama publikacja jest wystarczająca.

Przeprowadź audyt domeny BIMI lub zwaliduj logo przed wprowadzeniem zmian w DNS.

Co robi BIMI

Rekord potwierdzający BIMI wskazuje lokalizację pliku logo oraz, w stosownych przypadkach, pliku certyfikatu. Obsługujący go odbiorca może pobrać te zasoby, ocenić je wraz z uwierzytelnieniem nadawcy i zdecydować, czy wyświetlić wskaźnik.

Efektem jest rozpoznawalna tożsamość nadawcy w skrzynce odbiorczej. Podstawowym celem jest jednak wzmocnienie uwierzytelniania nadawcy. BIMI zależy od DMARC; nie zastępuje DMARC, SPF ani DKIM.

Czego BIMI nie robi

BIMI nie gwarantuje dostarczenia do skrzynki odbiorczej, reputacji nadawcy ani wyświetlenia logo. Technicznie prawidłowy rekord może nie zostać wyświetlony, jeśli dostawca odbiorcy stosuje inną politykę, jeśli zasobu nie można pobrać lub zwalidować albo jeśli wiadomość nie spełnia warunków uwierzytelniania określonych przez odbiorcę. BIMI powinno być zatem wdrażane jako część szerszego programu uwierzytelnionej poczty e-mail, a nie jako estetyczny skrót.[1]

Ścieżka wdrożenia

1. Egzekwowanie DMARC

Zgodnie z udokumentowanym przez Google procesem BIMI, DMARC musi być skonfigurowane z polityką p=quarantine lub p=reject oraz pct=100; wartość p=none nie kwalifikuje się.[2] SPF lub DKIM muszą również uwierzytelniać pocztę w sposób spełniający wymagania wyrównania DMARC.

Jeśli domena jest nadal w trybie monitorowania, należy rozpocząć od kontrolowanego programu DMARC. DMARCSwiss jest usługą portfelową do bieżącego monitorowania raportów zbiorczych i postępowania z polityką. Niniejsza strona nie traktuje p=none jako gotowości BIMI.

Przeczytaj szczegółowy przewodnik po wymaganiach DMARC.

2. Przygotowanie logo SVG Tiny P/S

BIMI używa ograniczonego profilu SVG przeznaczonego do bezpiecznego renderowania w środowisku wrażliwym na bezpieczeństwo. Standardowe eksporty z narzędzi projektowych często zawierają nieobsługiwane elementy, odniesienia zewnętrzne, skrypty, animacje lub geometrię wymagającą normalizacji.

Opublikowane przez Google wskazówki zawierają wymagania dotyczące SVG Tiny P/S oraz warunki specyficzne dla Gmail, w tym bezwzględne wymiary w pikselach, zalecenia dotyczące kwadratowej prezentacji, jednolitego tła, rozmiaru pliku oraz elementu desc.[2]

makeBIMI konwertuje i waliduje zasoby SVG zgodnie z odpowiednimi ograniczeniami technicznymi. Wynik stanowi walidację techniczną, a nie obietnicę, że urząd certyfikacji lub dostawca skrzynki pocztowej zaakceptuje finalne wdrożenie.

Konwertuj lub zwaliduj logo · Przeczytaj przewodnik po SVG Tiny P/S · Przeczytaj standard techniczny

3. Publikowanie rekordu BIMI

Domyślny rekord potwierdzający BIMI jest publikowany pod adresem:

default._bimi.example.com

Przykładowy rekord wygląda następująco:

v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem

Tag v= deklaruje wersję BIMI. Tag l= identyfikuje hostowane SVG. Tag a= identyfikuje plik certyfikatu, gdy wymaga tego implementacja odbiorcy.

Zasoby muszą być publicznie dostępne przez HTTPS i muszą pozostawać stabilne po publikacji. Wskazówki Google wyjaśniają konstrukcję pliku certyfikatu i stwierdzają, że certyfikat podmiotu, certyfikaty pośrednie oraz certyfikat główny są zazwyczaj dołączane w tej kolejności, gdy używany jest plik PEM.[2]

Przeczytaj przewodnik po rekordach DNS BIMI przed opublikowaniem aktywnego rekordu.

4. Ustalenie, czy certyfikat jest potrzebny

Wymagania odbiorców różnią się od siebie. Google dokumentuje VMC lub CMC dla swojej konfiguracji BIMI i stwierdza, że zweryfikowany znacznik wyboru w Gmail jest powiązany z VMC.[2] VMC opiera się na zastrzeżonym znaku towarowym logo i rygorystycznym procesie weryfikacji. CMC może być dostępny dla kwalifikujących się przypadków użycia niewymagających znaku towarowego, z zastrzeżeniem aktualnych wymagań urzędu certyfikacji i odbiorcy.

Zatwierdzone sformułowanie portfela dotyczące aktywnych wystawców VMC brzmi: DigiCert i Entrust są aktywnymi wystawcami VMC. Nie należy polegać na historycznych listach wystawców ani zakładać, że dowolny typ certyfikatu daje taki sam wynik u odbiorcy.

Przeczytaj przewodnik po VMC i CMC · Porównaj VMC i CMC · Skontaktuj się z veriBIMI

Polityka odbiorcy ma znaczenie

Standard BIMI zapewnia odbiorcom wspólny sposób uzyskiwania i oceny informacji o logo. Nie eliminuje jednak swobody decyzyjnej odbiorcy. BIMI Group wyraźnie stwierdza, że dostawca skrzynki pocztowej nie jest zobowiązany do wyświetlania logo dla domeny stosującej BIMI i może podejmować lokalne decyzje w odniesieniu do poszczególnych domen.[1]

Z tego powodu makeBIMI będzie prowadzić datowaną Macierz Wymagań Odbiorców BIMI. Będzie ona oddzielać udokumentowane wymagania dostawców od ogólnych zasad standardowych oraz oznaczać niepewne lub nieudokumentowane zachowania jako takie. Nie będzie wnioskować o obsłudze na podstawie zrzutów ekranu, twierdzeń stron trzecich ani starszych wpisów na blogach.

Typowe przyczyny braku wyświetlenia logo

Zwykłe przyczyny są następujące:

• DMARC jest nadal ustawione na p=none lub strumień wysyłania nie jest wyrównany.
• SVG zawiera zabronione treści lub nie spełnia udokumentowanych ograniczeń odbiorcy.
• Rekord potwierdzający BIMI jest nieprawidłowo sformułowany, opublikowany pod niewłaściwym selektorem lub nie jest jeszcze widoczny w DNS.
• Hostowanego pliku SVG lub PEM nie można bezpiecznie pobrać.
• Łańcuch certyfikatów lub relacja z logo nie przechodzi walidacji.
• Zewnętrzna platforma wysyłki nie jest skonfigurowana pod kątem wyrównanego uwierzytelniania.
• Dostawca odbiorcy nie wyświetla wskaźnika dla tej wiadomości lub domeny.

Użyj audytu BIMI, aby sprawdzić obserwowaną konfigurację domeny, a następnie postępuj zgodnie z odpowiednim przewodnikiem technicznym, zamiast jednoczesnego zmieniania kilku parametrów.

Zdyscyplinowana kolejność wdrożenia

Powiązane przewodniki wdrożeniowe

• Standard techniczny BIMI
• Obsługa BIMI przez klientów poczty e-mail
• BIMI z zewnętrznymi nadawcami i ESP
• Jak sprawdzić, czy BIMI działa
• Dlaczego logo BIMI nie jest wyświetlane
• BIMI i Microsoft Outlook

Często zadawane pytania

Czy BIMI działa bez egzekwowania DMARC?

Nie w udokumentowanym przez Google procesie BIMI. Google wymaga polityki DMARC p=quarantine lub p=reject oraz pct=100, a nie p=none.[2]

Czy zwykłe SVG wystarczy?

Nie. BIMI używa ograniczonego profilu SVG Tiny P/S. Logo, które renderuje się na stronie internetowej, może nadal zawierać elementy niespełniające ograniczeń BIMI. Należy zwalidować finalny hostowany zasób, zamiast zakładać, że eksport z narzędzia projektowego jest odpowiedni.

Czy prawidłowy rekord BIMI gwarantuje logo w każdej skrzynce odbiorczej?

Nie. Wyświetlanie przez odbiorcę pozostaje decyzją odbiorcy. BIMI Group zaznacza, że dostawcy mogą podejmować lokalne decyzje w odniesieniu do poszczególnych domen.[1]

Którzy wystawcy VMC są aktywni?

W odniesieniu do treści portfela należy używać zatwierdzonego aktualnego sformułowania: DigiCert i Entrust są aktywnymi wystawcami VMC. Wymagania dotyczące certyfikatów i odbiorców mogą się zmieniać, dlatego przed złożeniem wniosku należy zweryfikować aktualne wymagania.

Źródła

[1] BIMI Group — Mailbox Providers

[2] Google Workspace Admin Help — Set up BIMI

[3] BIMI Group — Supporting Documents