BIMI: วิธีการทำงานของ Brand Indicators for Message Identification

BIMI ย่อมาจาก Brand Indicators for Message Identification คือมาตรฐานการยืนยันตัวตนอีเมลที่ช่วยให้ผู้ส่งสามารถเผยแพร่โลโก้แบรนด์เพื่อให้ผู้ให้บริการกล่องจดหมายที่รองรับนำไปประเมินและแสดงควบคู่กับข้อความของผู้ส่ง ตามที่นโยบายของผู้ให้บริการเองจะอนุญาต

BIMI ไม่ใช่ฟีเจอร์อัปโหลดภาพ แต่ทำงานบนพื้นฐานของอีเมลที่ผ่านการยืนยันตัวตน, DNS, รูปแบบ SVG ที่มีข้อกำหนดเฉพาะ และนโยบายของผู้รับ ระเบียน BIMI ที่ถูกต้องไม่ได้บังคับให้กล่องจดหมายแสดงโลโก้ ผู้ให้บริการกล่องจดหมายตัดสินใจเองสำหรับแต่ละโดเมน[1]

เส้นทางเชิงปฏิบัติมีสี่ขั้นตอน:

1. ยืนยันตัวตนโดเมนผู้ส่งและบังคับใช้ DMARC
2. จัดเตรียมโลโก้ SVG Tiny Portable/Secure ที่ถูกต้อง
3. เผยแพร่ระเบียนยืนยัน BIMI และไฟล์ใบรับรองในกรณีที่จำเป็น และ
4. ทดสอบโดเมนที่ติดตั้งใช้งานจริง แทนที่จะสันนิษฐานว่าการเผยแพร่เพียงอย่างเดียวเพียงพอ

ตรวจสอบ BIMI ของโดเมน หรือ ตรวจสอบโลโก้ ก่อนเปลี่ยนแปลง DNS

BIMI ทำงานอย่างไร

ระเบียนยืนยัน BIMI ระบุตำแหน่งของไฟล์โลโก้และไฟล์ใบรับรองเมื่อมีการใช้งาน ผู้รับที่รองรับสามารถดึงทรัพยากรเหล่านั้น ประเมินร่วมกับการยืนยันตัวตนของผู้ส่ง และตัดสินใจว่าจะแสดง indicator หรือไม่

ผลลัพธ์คือตัวตนของผู้ส่งที่สามารถจดจำได้ในกล่องจดหมายของผู้รับ อย่างไรก็ตาม เป้าหมายหลักคือการยืนยันตัวตนของผู้ส่งที่แข็งแกร่งยิ่งขึ้น BIMI ต้องอาศัย DMARC และไม่ได้แทนที่ DMARC, SPF หรือ DKIM

สิ่งที่ BIMI ไม่ได้ทำ

BIMI ไม่รับประกันการจัดส่งอีเมลเข้ากล่องจดหมาย ชื่อเสียงของผู้ส่ง หรือการแสดงโลโก้ ระเบียนที่ถูกต้องทางเทคนิคยังคงอาจไม่แสดงผล หากผู้ให้บริการที่รับมีนโยบายแตกต่างออกไป หากไม่สามารถดึงหรือตรวจสอบทรัพยากรได้ หรือหากข้อความไม่ผ่านเงื่อนไขการยืนยันตัวตนของผู้รับ ดังนั้น BIMI ควรถูกนำไปใช้เป็นส่วนหนึ่งของโปรแกรมอีเมลที่ผ่านการยืนยันตัวตนในวงกว้าง ไม่ใช่ใช้เป็นทางลัดเชิงรูปลักษณ์[1]

เส้นทางการติดตั้ง

1. บังคับใช้ DMARC

สำหรับขั้นตอน BIMI ที่ Google บันทึกไว้ DMARC ต้องได้รับการตั้งค่าด้วยนโยบาย p=quarantine หรือ p=reject และ pct=100 โดย p=none ไม่มีคุณสมบัติ[2] SPF หรือ DKIM ต้องยืนยันตัวตนอีเมลในลักษณะที่ผ่านการจัดตำแหน่ง DMARC ด้วย

หากโดเมนยังอยู่ในโหมดติดตาม ให้เริ่มต้นด้วยโปรแกรม DMARC แบบควบคุม DMARCSwiss คือบริการในพอร์ตโฟลิโอสำหรับการติดตาม aggregate report อย่างต่อเนื่องและการพัฒนานโยบาย หน้านี้ไม่ถือว่า p=none พร้อมสำหรับ BIMI

อ่านคู่มือข้อกำหนด DMARC โดยละเอียด

2. จัดเตรียมโลโก้ SVG Tiny P/S

BIMI ใช้โปรไฟล์ SVG ที่จำกัดซึ่งออกแบบมาเพื่อการแสดงผลที่ปลอดภัยในสภาพแวดล้อมที่คำนึงถึงความปลอดภัย ผลลัพธ์การส่งออกจากเครื่องมือออกแบบมาตรฐานมักมี element ที่ไม่รองรับ การอ้างอิงภายนอก สคริปต์ แอนิเมชัน หรือรูปทรงเรขาคณิตที่ต้องการการปรับแต่งให้ถูกต้อง

คำแนะนำที่ Google เผยแพร่รวมถึงข้อกำหนด SVG Tiny P/S และเงื่อนไขเฉพาะของ Gmail ซึ่งได้แก่ มิติพิกเซลแบบสัมบูรณ์ และคำแนะนำเกี่ยวกับการนำเสนอแบบสี่เหลี่ยมจัตุรัส พื้นหลังทึบ ขนาดไฟล์ และ element desc[2]

makeBIMI แปลงและตรวจสอบ SVG asset ตามข้อกำหนดทางเทคนิคที่เกี่ยวข้อง ผลลัพธ์คือการตรวจสอบความถูกต้องทางเทคนิค ไม่ใช่คำรับประกันว่า certificate authority หรือผู้ให้บริการกล่องจดหมายจะยอมรับการติดตั้งใช้งานขั้นสุดท้าย

แปลงหรือตรวจสอบโลโก้ · อ่านคู่มือ SVG Tiny P/S · อ่านมาตรฐานทางเทคนิค

3. เผยแพร่ระเบียน BIMI

ระเบียนยืนยัน BIMI เริ่มต้นเผยแพร่ที่:

default._bimi.example.com

ตัวอย่างระเบียนคือ:

v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem

แท็ก v= ประกาศเวอร์ชัน BIMI แท็ก l= ระบุตำแหน่ง SVG ที่โฮสต์ไว้ แท็ก a= ระบุไฟล์ใบรับรองเมื่อการใช้งานของผู้รับต้องการ

ทรัพยากรต้องสามารถเข้าถึงได้สาธารณะผ่าน HTTPS และต้องคงความเสถียรหลังการเผยแพร่ คำแนะนำของ Google อธิบายการสร้างไฟล์ใบรับรองและระบุว่าโดยทั่วไปแล้ว entity certificate, intermediate certificate และ root certificate จะถูกต่อท้ายตามลำดับดังกล่าวเมื่อใช้ไฟล์ PEM[2]

อ่านคู่มือระเบียน DNS สำหรับ BIMI ก่อนเผยแพร่ระเบียนจริง

4. พิจารณาว่าจำเป็นต้องมีใบรับรองหรือไม่

ข้อกำหนดของผู้รับแตกต่างกัน Google บันทึกการใช้ VMC หรือ CMC สำหรับการตั้งค่า BIMI และระบุว่า checkmark ที่ได้รับการยืนยันของ Gmail เชื่อมโยงกับ VMC[2] VMC อิงตามโลโก้ที่จดเครื่องหมายการค้าและกระบวนการตรวจสอบที่เข้มงวด CMC อาจมีให้สำหรับกรณีการใช้งานที่ไม่ใช่เครื่องหมายการค้าที่มีคุณสมบัติเหมาะสม ขึ้นอยู่กับข้อกำหนดของ certificate authority และผู้รับในปัจจุบัน

ถ้อยคำที่ได้รับการอนุมัติสำหรับผู้ออก VMC ที่ใช้งานอยู่คือ: DigiCert และ Entrust คือผู้ออก VMC ที่ใช้งานอยู่ อย่าพึ่งพารายชื่อผู้ออกในอดีตหรือสันนิษฐานว่าใบรับรองประเภทใดก็ตามจะให้ผลลัพธ์เดียวกันกับผู้รับ

อ่านคู่มือ VMC และ CMC · เปรียบเทียบ VMC และ CMC · ติดต่อ veriBIMI

นโยบายของผู้รับมีความสำคัญ

มาตรฐาน BIMI มอบวิธีทั่วไปให้ผู้รับในการดึงและประเมินข้อมูลโลโก้ แต่ไม่ได้ลบดุลยพินิจของผู้รับออก BIMI Group ระบุอย่างชัดเจนว่าผู้ให้บริการกล่องจดหมายไม่มีข้อผูกมัดที่จะต้องแสดงโลโก้ของโดเมนที่ใช้ BIMI และสามารถตัดสินใจเฉพาะสำหรับแต่ละโดเมนได้[1]

ด้วยเหตุนี้ makeBIMI จะดูแล BIMI Receiver Requirements Matrix ที่มีวันที่กำกับ โดยจะแยกแยะข้อกำหนดของผู้ให้บริการที่บันทึกไว้ออกจากกฎมาตรฐานทั่วไป และจะระบุพฤติกรรมที่ไม่แน่นอนหรือไม่มีการบันทึกไว้ตามความเป็นจริง โดยจะไม่อ้างการรองรับจากภาพหน้าจอ การอ้างสิทธิ์จากบุคคลที่สาม หรือบล็อกโพสต์เก่า

สาเหตุทั่วไปที่โลโก้ไม่แสดง

สาเหตุปกติมักตรงไปตรงมา:

• DMARC ยังคงตั้งค่าเป็น p=none หรือ stream การส่งไม่ผ่านการจัดตำแหน่ง
• SVG มีเนื้อหาที่ไม่ได้รับอนุญาตหรือไม่ตรงตามข้อกำหนดที่บันทึกไว้ของผู้รับ
• ระเบียนยืนยัน BIMI มีรูปแบบผิด เผยแพร่ภายใต้ selector ที่ไม่ถูกต้อง หรือยังไม่ปรากฏใน DNS
• ไม่สามารถดึง SVG หรือไฟล์ PEM ที่โฮสต์ไว้อย่างปลอดภัย
• chain ของใบรับรองหรือความสัมพันธ์กับโลโก้ไม่ผ่านการตรวจสอบ
• แพลตฟอร์มการส่งของบุคคลที่สามไม่ได้รับการตั้งค่าสำหรับการยืนยันตัวตนแบบจัดตำแหน่ง
• ผู้ให้บริการที่รับไม่แสดง indicator สำหรับข้อความหรือโดเมนนั้น

ใช้การตรวจสอบ BIMI เพื่อตรวจสอบการตั้งค่าโดเมนที่สังเกตได้ จากนั้นทำตามคู่มือทางเทคนิคที่เหมาะสม แทนที่จะเปลี่ยนหลายส่วนพร้อมกัน

ลำดับการติดตั้งที่มีวินัย

คู่มือการติดตั้งที่เกี่ยวข้อง

• มาตรฐานทางเทคนิคของ BIMI
• การรองรับ BIMI ในอีเมลไคลเอนต์
• BIMI กับผู้ส่งบุคคลที่สามและ ESP
• วิธีตรวจสอบว่า BIMI ทำงานอยู่หรือไม่
• เหตุใดโลโก้ BIMI จึงไม่แสดง
• BIMI กับ Microsoft Outlook

คำถามที่พบบ่อย

BIMI ทำงานได้โดยไม่มีการบังคับใช้ DMARC หรือไม่?

ไม่ได้ในขั้นตอน BIMI ที่ Google บันทึกไว้ Google กำหนดให้นโยบาย DMARC เป็น p=quarantine หรือ p=reject และ pct=100 แทนที่จะเป็น p=none[2]

SVG ทั่วไปเพียงพอหรือไม่?

ไม่ BIMI ใช้โปรไฟล์ SVG Tiny P/S ที่มีข้อกำหนดเฉพาะ โลโก้ที่แสดงผลบนเว็บไซต์ได้อาจยังมี element ที่ไม่ตรงตามข้อกำหนดของ BIMI ควรตรวจสอบ asset ที่โฮสต์ขั้นสุดท้าย แทนที่จะสันนิษฐานว่าผลลัพธ์การส่งออกจากเครื่องมือออกแบบเหมาะสม

ระเบียน BIMI ที่ถูกต้องรับประกันโลโก้ในทุกกล่องจดหมายหรือไม่?

ไม่ การแสดงผลของผู้รับยังคงเป็นการตัดสินใจของผู้รับ BIMI Group ระบุว่าผู้ให้บริการอาจตัดสินใจเฉพาะสำหรับแต่ละโดเมน[1]

ผู้ออก VMC รายใดที่ใช้งานอยู่?

สำหรับเนื้อหาในพอร์ตโฟลิโอ ให้ใช้ถ้อยคำที่ได้รับการอนุมัติในปัจจุบัน: DigiCert และ Entrust คือผู้ออก VMC ที่ใช้งานอยู่ ข้อกำหนดของใบรับรองและผู้รับอาจเปลี่ยนแปลงได้ ดังนั้นควรตรวจสอบข้อกำหนดปัจจุบันก่อนยื่นคำขอ

แหล่งที่มา

[1] BIMI Group — Mailbox Providers

[2] Google Workspace Admin Help — Set up BIMI

[3] BIMI Group — Supporting Documents