Bản ghi DNS BIMI: Giải thích thẻ l= và a=
Tài liệu tham khảo kỹ thuật toàn diện về cú pháp bản ghi TXT BIMI, bao gồm thẻ l= cho logo và thẻ a= cho chứng chỉ, các cấu hình được hỗ trợ và các lỗi cấu hình phổ biến.
Bản ghi DNS BIMI đầy đủ
Bản ghi DNS BIMI (Brand Indicators for Message Identification) là một bản ghi TXT duy nhất cho các ứng dụng email tham gia biết nơi tìm logo thương hiệu của bạn và — khi được yêu cầu — chứng chỉ chứng minh quyền sở hữu logo đó. Cú pháp phải chính xác tuyệt đối: chỉ một thẻ sai định dạng cũng gây ra lỗi im lặng mà không có email trả về, không có nhật ký lỗi và không hiển thị logo.
Bài viết này đề cập đến mọi thành phần của bản ghi TXT BIMI, các quy tắc chi phối từng thẻ, ba cấu hình bản ghi chuẩn và các lỗi cấu hình khiến logo không hiển thị mà không báo lỗi.
Điều kiện tiên quyết
Trước khi xuất bản bản ghi BIMI, hãy xác nhận các yêu cầu sau đã được đáp ứng:
- Chính sách DMARC được đặt thành
p=quarantinehoặcp=rejectvới ít nhấtpct=100(hoặc mức thực thi tương đương). - Tệp logo của bạn ở định dạng SVG Tiny P/S và được lưu trữ tại URL HTTPS có thể truy cập công khai.
- Nếu nhắm đến Gmail hoặc Apple Mail, bạn cần có VMC (Verified Mark Certificate) hoặc CMC (Common Mark Certificate) hợp lệ ở định dạng PEM, cũng được lưu trữ tại URL HTTPS có thể truy cập công khai.
Cấu trúc bản ghi BIMI
Bản ghi TXT BIMI tuân theo cú pháp chung sau:
v=BIMI1; l=<logo-url>; a=<certificate-url>
| Thẻ | Tên | Bắt buộc | Mô tả |
|---|---|---|---|
v= |
Phiên bản | Có | Luôn là BIMI1. |
l= |
URL Logo | Có | URL HTTPS trỏ đến tệp logo SVG Tiny P/S của bạn. |
a= |
Bằng chứng ủy quyền | Có điều kiện | URL HTTPS trỏ đến VMC hoặc CMC của bạn ở định dạng PEM. Bắt buộc cho Gmail và Apple Mail. |
Bản ghi được xuất bản dưới dạng bản ghi DNS TXT tại subdomain sau:
default._bimi.<yourdomain.com>
Lưu ý: Selector
defaultlà selector tiêu chuẩn được sử dụng bởi tất cả các ứng dụng email lớn. Selector tùy chỉnh được hỗ trợ theo đặc tả nhưng chưa được các bên nhận triển khai rộng rãi.
Thẻ l=: URL Logo
Chức năng
Thẻ l= cung cấp URL để các ứng dụng email nhận có thể tải logo thương hiệu của bạn. Khi một tin nhắn vượt qua kiểm tra căn chỉnh DMARC, ứng dụng sẽ truy xuất tệp này và hiển thị bên cạnh tên người gửi.
Yêu cầu
- Giao thức: Phải là
https://. URL HTTP sẽ bị từ chối. - Khả năng truy cập: URL phải có thể truy cập công khai — không xác thực, không chuyển hướng, không chặn theo vùng địa lý. Máy chủ email truy xuất URL này từ cơ sở hạ tầng của họ, không phải từ trình duyệt.
- Định dạng tệp: Tệp phải tuân thủ SVG Tiny P/S (Portable/Secure), một tập con hạn chế của SVG 1.2 Tiny. Các tệp SVG tiêu chuẩn sẽ không vượt qua xác thực ngay cả khi hiển thị đúng trong trình duyệt.
- Header Content-Type: Máy chủ phải trả về
image/svg+xml. - Kích thước tệp: Giữ tệp dưới 32 KB. Một số bên nhận áp dụng giới hạn nghiêm ngặt hơn.
Các hạn chế chính của SVG Tiny P/S
SVG Tiny P/S cấm các phần tử và thuộc tính sau thường có trong các tệp SVG tiêu chuẩn:
- Tham chiếu bên ngoài (
<image>,xlink:hreftrỏ ra ngoài tệp) - Script (
<script>) - Hiệu ứng động (
<animate>,<animateTransform>) - Nhúng hình ảnh raster
- Font tùy ý (chỉ font hệ thống, hoặc văn bản đã chuyển đổi thành đường dẫn)
Quan trọng: Một tệp là SVG hợp lệ nhưng không phải SVG Tiny P/S hợp lệ sẽ khiến logo không hiển thị mà không báo lỗi trên hầu hết các ứng dụng. Luôn xác thực bằng công cụ kiểm tra SVG BIMI chuyên dụng trước khi xuất bản.
Đặt l= thành rỗng
Đặc tả cho phép l= với giá trị rỗng (l=;) để từ chối hiển thị BIMI cho một tên miền một cách rõ ràng trong khi vẫn xuất bản bản ghi. Đây là trường hợp đặc biệt được sử dụng trong các tình huống ngăn chặn subdomain.
Thẻ a=: Bằng chứng ủy quyền (URL chứng chỉ)
Chức năng
Thẻ a= trỏ đến Mark Verifying Certificate (VMC) hoặc Common Mark Certificate (CMC) ở định dạng PEM. Chứng chỉ này liên kết bằng mật mã logo của bạn với tên miền và được cấp bởi Cơ quan Chứng nhận (CA) được công nhận. Các ứng dụng email nhận sẽ truy xuất chứng chỉ này, xác thực chuỗi và xác nhận logo nhúng khớp với URL l= trước khi hiển thị dấu hiệu.
Yêu cầu
- Giao thức: Phải là
https://. URL HTTP sẽ bị từ chối. - Khả năng truy cập: Có thể truy cập công khai, không xác thực hoặc chuyển hướng.
- Định dạng: Chuỗi chứng chỉ mã hóa PEM (
.pem). Tệp phải bao gồm toàn bộ chuỗi từ chứng chỉ thực thể cuối đến root đáng tin cậy. - Chuỗi tin cậy: Chứng chỉ phải kết nối đến root CA đáng tin cậy được nhà cung cấp email nhận công nhận. Chứng chỉ tự ký không được chấp nhận.
- Khớp hash logo: Tệp SVG tại
l=phải khớp với hash logo được nhúng trong chứng chỉ. Cập nhật logo mà không cấp lại chứng chỉ sẽ làm hỏng việc hiển thị. - Hiệu lực: Chứng chỉ không được hết hạn hoặc bị thu hồi.
VMC so với CMC
| Loại chứng chỉ | Tên đầy đủ | Yêu cầu nhãn hiệu | Cấp bởi |
|---|---|---|---|
| VMC | Verified Mark Certificate | Có — nhãn hiệu đã đăng ký | DigiCert, Entrust |
| CMC | Common Mark Certificate | Không — chấp nhận nhãn hiệu theo luật chung | DigiCert, Entrust |
CMC hạ thấp rào cản gia nhập bằng cách loại bỏ yêu cầu đăng ký nhãn hiệu, giúp BIMI với xác minh chứng chỉ có thể tiếp cận được với nhiều tổ chức hơn.
Bản ghi tự xác nhận so với bản ghi có chứng nhận
Bản ghi tự xác nhận (chỉ có l=, không có a=)
Bản ghi tự xác nhận chỉ chứa thẻ l=. Không có chứng chỉ nào được tham chiếu.
default._bimi.example.com. IN TXT "v=BIMI1; l=https://bimi.example.com/logo.svg;"
Nơi hoạt động:
- Yahoo Mail / AOL Mail: Hiển thị logo mà không cần chứng chỉ, miễn là DMARC được thực thi.
- Fastmail: Hỗ trợ bản ghi tự xác nhận.
Nơi không hoạt động:
- Gmail: Yêu cầu VMC hoặc CMC hợp lệ. Bản ghi tự xác nhận bị bỏ qua.
- Apple Mail: Yêu cầu VMC hoặc CMC hợp lệ. Bản ghi tự xác nhận bị bỏ qua.
- Microsoft Outlook (365): Sử dụng hệ thống riêng tương tự BIMI (BIMI hiện chưa được hỗ trợ trực tiếp).
Tóm tắt: Bản ghi tự xác nhận là điểm khởi đầu hợp lệ và mang lại giá trị trên Yahoo Mail, nhưng sẽ không kích hoạt hiển thị logo trên Gmail hoặc Apple Mail.
Bản ghi VMC (Verified Mark Certificate)
Sử dụng cấu hình này khi bạn sở hữu nhãn hiệu đã đăng ký và đã có VMC từ CA được công nhận.
default._bimi.example.com. IN TXT "v=BIMI1; l=https://bimi.example.com/logo.svg; a=https://bimi.example.com/vmc.pem;"
Được hỗ trợ bởi: Gmail, Yahoo Mail, Apple Mail, Fastmail và tất cả các ứng dụng tham gia BIMI khác.
Bản ghi CMC (Common Mark Certificate)
Sử dụng cấu hình này khi bạn đã có CMC. Cú pháp bản ghi DNS giống hệt với bản ghi VMC — sự khác biệt nằm ở chính chứng chỉ, không phải bản ghi DNS.
default._bimi.example.com. IN TXT "v=BIMI1; l=https://bimi.example.com/logo.svg; a=https://bimi.example.com/cmc.pem;"
Được hỗ trợ bởi: Gmail (kể từ khi triển khai hỗ trợ CMC), Yahoo Mail, Apple Mail, Fastmail.
Lưu ý: Luôn xác nhận trạng thái hỗ trợ CMC hiện tại với các ứng dụng email mục tiêu của bạn, vì thời gian triển khai khác nhau tùy theo nhà cung cấp.
Các lỗi cấu hình phổ biến
1. URL a= bị hỏng gây ra lỗi im lặng
Đây là lỗi nghiêm trọng nhất và