Стандарт BIMI
BIMI відображає верифіковані іконки брендів у поштових клієнтах, коли виконано вимоги автентифікації та політики.
Три вимоги
BIMI (Brand Indicators for Message Identification) функціонує на перетині трьох технічних контролів. По-перше, домен-відправник повинен опублікувати та застосовувати політику DMARC на рівні quarantine або reject. По-друге, DNS TXT-запис за адресою default._bimi.[domain] повинен посилатися на SVG-зображення через HTTPS. По-третє, цей SVG має відповідати профілю SVG Tiny Portable/Secure. Усі три вимоги є обов'язковими. Невиконання будь-якого компонента унеможливлює відображення індикатора.
Передумова застосування DMARC
BIMI вимагає p=quarantine або p=reject у DMARC-записі організаційного домену. Політика p=none не відповідає вимогам. Політики субдоменів (sp=) оцінюються окремо, якщо субдомен публікує власний BIMI-запис. Автентифікація DMARC має пройти успішно з використанням SPF або DKIM із вирівнюванням ідентифікаторів. Ця вимога встановлює, що неавтентифікована пошта не може ініціювати відображення індикатора, що зменшує ризик підміни.
Профіль SVG Tiny Portable/Secure
SVG Tiny P/S визначено в RFC 9345 і обмежує SVG до захищеної підмножини. Профіль забороняє скрипти, посилання на зовнішні ресурси, анімацію та складні ефекти фільтрів. Дозволені елементи включають базові фігури (<path>, <circle>, <rect>), <title>, <desc> та статичні градієнти. Усі стилі мають бути атрибутами представлення або внутрішніми блоками <style>—без зовнішнього CSS. Кореневий елемент <svg> повинен оголошувати простір імен Tiny 1.2 або 2.0 і має включати baseProfile="tiny-ps". Зображення мають бути квадратними з атрибутом viewBox. Рекомендований розмір файлу — до 32 КБ.
Причини цих обмежень
Профіль усуває цілі класи векторів атак на клієнтському боці. Скрипти могли б виконуватися в контексті поштового клієнта. Зовнішні посилання могли б розкривати дані одержувача через HTTP-запити або вносити шкідливі навантаження. Анімація могла б викликати фоточутливі напади або маскувати фішинговий контент. Фільтри могли б експлуатувати вразливості механізму рендерингу. Обмежуючи SVG до декларативної геометрії та градієнтів, профіль дозволяє вираження бренду, зберігаючи аналізований, перевіряємий формат, який можна безпечно відтворювати в контекстах, критичних до безпеки.
Структура BIMI-запису
DNS TXT-запис за адресою default._bimi.[domain] містить два компоненти: v=BIMI1 оголошує версію 1 специфікації. l=https://example.com/logo.svg вказує розташування SVG, яке має надаватися через HTTPS із дійсним сертифікатом. Опціональний тег a= посилається на Verified Mark Certificate (VMC) для логотипів із торговою маркою. Одержувачі можуть вимагати VMC для відображення. Формат запису строго визначений; сторонні теги або синтаксичні помилки призводять до невдалого пошуку.
Варіативність реалізації на боці одержувача
BIMI — це система прийняття рішень на боці одержувача, а не гарантований протокол відображення. Gmail, Yahoo, Fastmail та інші підтримують незалежні політики щодо вимог до VMC, тривалості кешування, рендерингу зображень та резервної поведінки. Деякі одержувачі відображають індикатори лише для пошти, що проходить як SPF, так і DKIM. Інші впроваджують додаткові сигнали репутації або ручну перевірку. Дійсний BIMI-запис не гарантує видимості індикатора. Одержувачі можуть відхиляти зображення з причин, що виходять за межі технічної відповідності, включаючи порушення політики контенту або спори про торгові марки.
Область валідації цього інструменту
makeBIMI валідує синтаксичну відповідність SVG Tiny P/S: структуру документа, білий список елементів, обмеження атрибутів, оголошення просторів імен та геометрію viewBox. Він перевіряє заборонені елементи, зовнішні посилання, скрипти та анімацію. Він не валідує синтаксис DMARC-запису, поширення DNS, дійсність HTTPS-сертифіката, автентичність VMC, права на торгову марку чи критерії прийняття конкретними одержувачами. Він не гарантує, що жоден поштовий одержувач відобразить ваш індикатор. Валідація підтверджує технічну прийнятність, а не успішність впровадження.
Перевірте відповідність вашого SVG профілю Tiny P/S або проаудитуйте конфігурацію DMARC.