Förklaring av BIMI:s krav på DMARC p=reject
Förklaring av BIMI:s krav på DMARC p=reject
De flesta misslyckade BIMI-implementeringar kan spåras till en enda orsak: en felaktig DMARC-policy. Organisationer fokuserar på att skapa SVG-logotypfilen och förbiser autentiseringskravet som avgör om logotypen visas överhuvudtaget.
BIMI är ett säkerhetsprotokoll, inte en varumärkesfunktion. E-postleverantörer visar din logotyp först efter att de kryptografiskt har verifierat att meddelandet härstammar från din domän [1].
Denna artikel beskriver DMARC-förutsättningen för BIMI, jämför de tre tillämpningspolicyerna och specificerar hur du förbereder din domän.
Vad är DMARC?
Domain-based Message Authentication, Reporting, and Conformance (DMARC) är en standard för e-postautentisering som förhindrar obehöriga avsändare från att använda din domän i From-huvudet.
DMARC bygger på två underliggande protokoll:
- SPF (Sender Policy Framework): Verifierar att den sändande IP-adressen är auktoriserad av domänägaren.
- DKIM (DomainKeys Identified Mail): Applicerar en kryptografisk signatur på varje meddelande så att mottagaren kan bekräfta att meddelandet inte har modifierats under överföring.
DMARC-posten instruerar mottagande servrar, såsom Gmail och Yahoo, hur de ska hantera meddelanden som misslyckas med både SPF och DKIM.
De tre DMARC-policyerna
Du publicerar din DMARC-post som en TXT-post i din DNS-zon. Taggen p= definierar tillämpningspolicyn.
1. p=none (Övervakningsläge)
Den mottagande servern levererar misslyckade meddelanden till inkorgen och skickar aggregerade rapporter till den adress du anger. Använd denna policy för att identifiera legitima sändningskällor innan du går över till tillämpning.
BIMI-status: ❌ Avvisad. E-postleverantörer visar inte BIMI-logotyper för domäner med p=none.
2. p=quarantine (Tillämpningsläge)
Den mottagande servern dirigerar misslyckade meddelanden till spam- eller skräppostmappen.
BIMI-status: ✅ Accepterad. Detta är den lägsta policyn som kvalificerar för BIMI. Policyn måste gälla för 100% av meddelandena. Inkludera antingen pct=100 eller utelämna pct-taggen (standardvärdet är 100).
3. p=reject (Strikt tillämpningsläge)
Den mottagande servern avvisar misslyckade meddelanden. De levereras inte. BIMI-status: ✅ Accepterad. Detta är den rekommenderade policyn för BIMI.
Varför BIMI kräver tillämpning
Kravet finns för att förhindra visuell förfalskning. När en e-postleverantör visar din logotyp bredvid ett meddelande, intygar den för mottagaren att meddelandet är autentiskt [2].
Om BIMI accepterade p=none skulle en angripare kunna förfalska din domän och få e-postleverantören att visa din logotyp bredvid ett nätfiskemeddelande. Kravet på p=quarantine eller p=reject garanterar att domänägaren har blockerat oautentiserad e-post innan logotypen beviljas.
Överväganden för subdomäner
Företag använder ofta subdomäner för separata e-postflöden, såsom marketing.company.com eller receipts.company.com. BIMI kräver att organisationsdomänen har tillämpning aktiverad.
Om din organisationsdomän publicerar p=reject men åsidosätter subdomäner med sp=none, misslyckas BIMI för e-post som skickas från dessa subdomäner. Tillämpning måste gälla för både organisationsdomänen och dess subdomäner.
Hur du granskar din infrastruktur
Bekräfta din DMARC-status innan du genererar en SVG-fil eller ansöker om ett Verified Mark Certificate (VMC).
Använd makeBIMI för att granska din domän. Verktyget frågar dina DNS-poster, utvärderar din SPF- och DMARC-konfiguration och rapporterar om din domän uppfyller tillämpningskravet för BIMI.
Efter att din domän har godkänts i granskningen, generera din kompatibla SVG-fil och anlita en CA-förmedlare såsom veriBIMI för att erhålla ditt certifikat.
Referenser
[1] M. Blank, et al. "Brand Indicators for Message Identification (BIMI)." IETF Datatracker, RFC 9091, https://datatracker.ietf.org/doc/html/rfc9091 [2] DMARC.org. "Overview." DMARC, https://dmarc.org/overview/