Droga do Verified Mark Certificate

Verified Mark Certificate (VMC) to certyfikat cyfrowy wydawany przez zatwierdzone urzędy certyfikacji (CA), który kryptograficznie wiąże logo Twojego zarejestrowanego znaku towarowego z domeną wysyłającą e-maile. Prawidłowo wdrożony wraz z rekordem DNS BIMI instruuje uczestniczących dostawców skrzynek pocztowych — w tym Gmail, Yahoo Mail, Apple Mail i Fastmail — aby wyświetlali logo Twojej marki w skrzynce odbiorczej obok uwierzytelnionych wiadomości.

Ten przewodnik obejmuje wszystkie wymagania wstępne i działania niezbędne do uzyskania i wdrożenia VMC, we właściwej kolejności.

Wymagania wstępne w skrócie

Przed rozpoczęciem upewnij się, że możesz spełnić wszystkie poniższe warunki:

• Polityka DMARC na poziomie p=reject lub p=quarantine (wymagane wymuszanie)
• Zarejestrowany znak towarowy dla Twojego logo w co najmniej jednej kwalifikującej się jurysdykcji
• Plik SVG logo zgodny z profilem W3C SVG Tiny 1.2 Portable/Secure (P/S)
• Dostęp do DNS Twojej domeny w celu opublikowania rekordu BIMI
• Budżet na VMC — certyfikaty są wydawane rocznie i wyceniane za domenę

Krok 1: Wymuś DMARC na poziomie polityki

DMARC (Domain-based Message Authentication, Reporting & Conformance) to fundament nie podlegający dyskusji. VMC nie ma żadnego efektu, jeśli Twoja domena nie przechodzi wyrównania DMARC, a dostawcy skrzynek pocztowych nie będą wyświetlać logo BIMI dla domen działających poniżej poziomu wymuszania.

Wymagania

• SPF i DKIM muszą być skonfigurowane i wyrównane dla Twojej domeny wysyłającej.
• Twój rekord DMARC musi określać p=reject lub p=quarantine. Polityka p=none nie kwalifikuje się.
• Rekord DMARC musi być opublikowany w domenie organizacyjnej (np. _dmarc.example.com), a nie w subdomenie.

Zalecana ścieżka do wymuszania

1. Opublikuj początkowy rekord DMARC z p=none oraz adresami raportowania rua i ruf.
2. Zbieraj raporty zbiorcze przez minimum dwa do czterech tygodni.
3. Zidentyfikuj wszystkie legalne strumienie poczty i upewnij się, że każdy przechodzi wyrównanie SPF lub DKIM.
4. Podnoś poziom polityki stopniowo: p=none → p=quarantine → p=reject.
5. Potwierdź, że końcowy rekord wygląda podobnie do:

_dmarc.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Ważne: Nie przechodź do kolejnych kroków, dopóki wymuszanie DMARC nie będzie stabilne. Błędnie skonfigurowany strumień poczty wykryty po wydaniu VMC może spowodować odrzucenie legalnych wiadomości e-mail.

Krok 2: Zarejestruj swój znak towarowy

VMC może zostać wydany wyłącznie dla logo będącego zarejestrowanym znakiem towarowym w jurysdykcji uznawanej przez wydające CA. To krok, którego czas realizacji większość organizacji niedoszacowuje.

Kwalifikujące się jurysdykcje (stan na 2024)

Zatwierdzone CA obecnie akceptują rejestracje znaków towarowych z następujących urzędów:

Ta lista jest okresowo rozszerzana. Przed złożeniem wniosku zweryfikuj aktualną listę u wybranego CA.

Kluczowe kwestie

1. Znak towarowy musi obejmować dokładnie to logo, które zamierzasz używać w BIMI. Znak słowny (tylko tekst) nie kwalifikuje się; rejestracja musi dotyczyć znaku graficznego lub słowno-graficznego (logo).
2. Status rejestracji musi być aktywny w momencie wydania VMC i przez cały okres ważności certyfikatu.
3. Terminy rejestracji znaków towarowych różnią się w zależności od jurysdykcji. Samo badanie USPTO trwa zazwyczaj 8–12 miesięcy. Planuj odpowiednio.
4. Jeśli Twoje logo jest już zarejestrowane, potwierdź numer rejestracji i dokładny obraz w aktach — przesłany plik SVG musi odpowiadać zarejestrowanemu znakowi.

Krok 3: Przekonwertuj logo do SVG Tiny 1.2 Portable/Secure

To najbardziej wymagający technicznie krok dla większości zespołów brandingowych i projektowych. Specyfikacja VMC wymaga, aby logo było zakodowane jako plik SVG Tiny 1.2 Portable/Secure (P/S). Standardowe pliki SVG eksportowane z Adobe Illustrator, Figma lub Inkscape nie przejdą walidacji CA bez modyfikacji.

Czym jest SVG Tiny 1.2 P/S?

SVG Tiny 1.2 to podzbiór specyfikacji SVG zaprojektowany dla środowisk o ograniczonych zasobach. Profil Portable/Secure dodaje kolejne ograniczenia, aby zapobiec wykonywalnej zawartości, ładowaniu zewnętrznych zasobów i skryptom — wszystko to stanowi zagrożenie bezpieczeństwa w kontekście renderowania wiadomości e-mail.

Typowe elementy SVG, które należy usunąć lub zastąpić

Wymagania konwersji

1. Plik musi deklarować prawidłową przestrzeń nazw i profil SVG Tiny 1.2:
   xml

   <svg version="1.2" baseProfile="tiny-ps"
        xmlns="http://www.w3.org/2000/svg" ...>
   

2. Element <title> musi być obecny jako pierwszy element potomny głównego elementu <svg>.
3. Plik musi być samodzielny — bez zewnętrznych czcionek, obrazów ani arkuszy stylów.
4. Płótno powinno być kwadratowe (równa szerokość i wysokość). Większość dostawców skrzynek pocztowych przycina lub maskuje logo do okrągłego lub kwadratowego formatu.
5. Rozmiar pliku powinien być utrzymany poniżej 32 KB po konwersji.

Walidacja

Po konwersji zwaliduj plik względem schematu SVG Tiny P/S przed przesłaniem do CA. Przesłanie niezgodnego pliku spowoduje odrzucenie i opóźnienie wydania certyfikatu.

Darmowe narzędzie do konwersji SVG: makeBIMI.com bezpłatnie konwertuje Twoje logo do pliku SVG Tiny 1.2 P/S zgodnego z BIMI. Prześlij istniejący plik logo i pobierz SVG gotowy do CA.

Krok 4: Złóż wniosek do zatwierdzonego urzędu certyfikacji

Gdy Twoja polityka DMARC jest wymuszona, znak towarowy zarejestrowany, a SVG zgodny ze specyfikacją, możesz złożyć wniosek o VMC do zatwierdzonego CA.

Zatwierdzone urzędy certyfikacji

Stan na 2024 rok — dwa CA są upoważnione do wydawania VMC:

• DigiCert — digicert.com
• Entrust — entrust.com

Z czasem mogą zostać zatwierdzeni dodatkowi CA. Sprawdź listę CA BIMI Group, aby poznać aktualnych autoryzowanych wydawców.

Co weryfikuje CA

CA przeprowadza następujące kontrole przed wydaniem VMC:

1. Walidacja kontroli domeny (DCV): Musisz udowodnić własność domeny, dla której wydawany jest VMC.
2. Weryfikacja znaku towarowego: CA weryfikuje rejestrację znaku towarowego w odpowiedniej bazie danych urzędu własności intelektualnej. Będziesz musiał podać numer rejestracji i jurysdykcję.
3. Zgodność logo ze znakiem towarowym: Przesłany plik SVG jest porównywany z zarejestrowanym znakiem. Muszą być zasadniczo identyczne.
4. Kontrola wymuszania DMARC: Niektóre CA weryfikują, czy rekord DMARC