BIMI Standardı
BIMI, kimlik doğrulama ve politika gereksinimleri karşılandığında e-posta istemcilerinde doğrulanmış marka simgelerini görüntüler.
Üç Gereksinim
BIMI (Brand Indicators for Message Identification) üç teknik kontrolün kesişiminde çalışır. Birincisi, gönderen alan adı quarantine veya reject düzeyinde bir DMARC politikası yayınlamalı ve uygulamalıdır. İkincisi, default._bimi.[domain] adresinde bir DNS TXT kaydı HTTPS üzerinden bir SVG görselini referans göstermelidir. Üçüncüsü, bu SVG'nin SVG Tiny Portable/Secure profiline uygun olması gerekir. Her üçü de zorunludur. Herhangi bir bileşenin başarısız olması gösterge görüntülenmesini engeller.
DMARC Zorunluluk Ön Koşulu
BIMI, kurumsal alan adının DMARC kaydında p=quarantine veya p=reject gerektirir. p=none politikası uygun değildir. Alt alan adı politikaları (sp=), bir alt alan adı kendi BIMI kaydını yayınlıyorsa ayrı olarak değerlendirilir. DMARC kimlik doğrulaması, tanımlayıcı hizalaması ile SPF veya DKIM kullanarak geçmelidir. Bu gereksinim, kimliği doğrulanmamış postanın gösterge görüntülemeyi tetikleyemeyeceğini belirleyerek kimliğe bürünme riskini azaltır.
SVG Tiny Portable/Secure Profili
SVG Tiny P/S, RFC 9345'te tanımlanmıştır ve SVG'yi güvenlik açısından sertleştirilmiş bir alt kümeyle sınırlar. Profil, script, harici kaynak referansları, animasyon ve karmaşık filtre efektlerini yasaklar. İzin verilen öğeler arasında temel şekiller (<path>, <circle>, <rect>), <title>, <desc> ve statik gradyanlar bulunur. Tüm stiller sunum nitelikleri veya dahili <style> blokları olmalıdır—harici CSS yoktur. <svg> kök öğesi Tiny 1.2 veya 2.0 ad alanını bildirmeli ve baseProfile="tiny-ps" içermelidir. Görseller kare olmalı ve viewBox niteliği içermelidir. Dosya boyutunun 32 KB'nin altında olması önerilir.
Bu Kısıtlamalar Neden Var
Profil, istemci tarafı saldırı vektörlerinin tüm sınıflarını ortadan kaldırır. Scriptler posta istemcisi bağlamında çalışabilir. Harici referanslar HTTP istekleri yoluyla alıcı verilerini sızdırabilir veya kötü amaçlı yükler getirebilir. Animasyonlar fotosensitif nöbetleri tetikleyebilir veya kimlik avı içeriğini gizleyebilir. Filtreler, render motorunun güvenlik açıklarını istismar edebilir. SVG'yi bildirimsel geometri ve gradyanlarla sınırlayarak, profil marka ifadesine izin verirken güvenlik açısından hassas bağlamlarda güvenle render edilebilen, ayrıştırılabilir ve denetlenebilir bir format sağlar.
BIMI Kayıt Yapısı
default._bimi.[domain] adresindeki DNS TXT kaydı iki bileşen içerir: v=BIMI1 spesifikasyonun 1. sürümünü bildirir. l=https://example.com/logo.svg SVG konumunu belirtir ve geçerli bir sertifikayla HTTPS üzerinden sunulmalıdır. İsteğe bağlı a= etiketi, tescilli logolar için bir Verified Mark Certificate (VMC) referansı verir. Alıcılar görüntüleme için VMC gerektirebilir. Kayıt formatı kesin olarak tanımlanmıştır; gereksiz etiketler veya sözdizimi hataları arama başarısızlığına neden olur.
Alıcı Uygulama Değişkenliği
BIMI, alıcı tarafı karar çerçevesidir, garantili bir görüntüleme protokolü değildir. Gmail, Yahoo, Fastmail ve diğerleri VMC gereksinimleri, önbellekleme süresi, görsel render etme ve yedek davranışla ilgili bağımsız politikalar uygular. Bazı alıcılar göstergeleri yalnızca hem SPF hem de DKIM'den geçen postalar için görüntüler. Diğerleri ek itibar sinyalleri veya manuel inceleme uygular. Geçerli bir BIMI kaydı gösterge görünürlüğünü garanti etmez. Alıcılar, teknik uygunluğun ötesinde içerik politikası ihlalleri veya ticari marka anlaşmazlıkları dahil olmak üzere nedenlerle görselleri reddedebilir.
Bu Aracın Validasyon Kapsamı
makeBIMI, SVG Tiny P/S'e sözdizimsel uygunluğu doğrular: belge yapısı, öğe beyaz listesi, nitelik kısıtlamaları, ad alanı bildirimleri ve viewBox geometrisi. Yasaklanmış öğeleri, harici referansları, scriptleri ve animasyonları kontrol eder. DMARC kayıt sözdizimini, DNS yayılımını, HTTPS sertifika geçerliliğini, VMC özgünlüğünü, ticari marka haklarını veya alıcıya özgü kabul kriterlerini doğrulamaz. Hiçbir e-posta alıcısının göstergenizi görüntüleyeceğini garanti etmez. Validasyon, dağıtım başarısını değil, teknik uygunluğu onaylar.
SVG'nizi Tiny P/S profiline göre doğrulayın veya DMARC yapılandırmanızı denetleyin.