Récap webinar : En route vers BIMI avec Mailgun et Red Sift

Tout le monde veut voir son logo apparaître à côté de ses emails dans Gmail, mais peu d'entreprises sont prêtes à faire le nécessaire pour l'obtenir. Ensemble, Red Sift et Mailgun ont parcouru tout le chemin jusqu'à BIMI, des bases de l'authentification jusqu'à la demande de certificat BIMI.

Vous avez manqué le webinar ? Nous vous résumons tout ici, et vous pouvez toujours regarder le replay.

BIMI est la récompense d'un DMARC en mode application. Et la plupart des entreprises n'y sont pas encore. Seules 7 % des organisations environ ont un DMARC entièrement verrouillé en quarantine ou reject. Cela laisse environ 93 % des domaines à la merci de quiconque souhaite envoyer des emails en se faisant passer pour eux.

Mais avant de parler logos, nous avons couvert les fondamentaux.

Jonathan Torres, Technical Account Manager chez Mailgun, a une façon très simple de retenir le fonctionnement de SPF : c'est comme avoir son nom sur une liste d'invités ou dans un annuaire. Plus précisément, l'enregistrement SPF est un unique enregistrement TXT dans le DNS de votre domaine, qui liste chaque serveur et service autorisé à envoyer des emails en votre nom.

Lorsqu'un message arrive, le serveur de réception consulte l'enregistrement SPF du domaine indiqué dans le return path et vérifie si l'adresse IP d'envoi figure sur la liste. Cela dit, un attaquant peut passer SPF sur un domaine qu'il possède tout en affichant votre marque dans le champ « De ». C'est pour cette raison que SPF ne suffit pas à vous protéger, et que d'autres méthodes d'authentification sont venues après lui.

DKIM fonctionne comme un système de serrure et de clé. Vous publiez une clé publique dans le DNS, et chaque message que vous envoyez est signé avec cette clé. Lorsqu'un message arrive, le serveur de réception lit le sélecteur et le domaine dans l'en-tête, récupère la clé publique et vérifie la signature par rapport au message. La signature couvre le corps du message et des en-têtes clés comme « De » et « Objet ». Si quelqu'un modifie le message en transit, DKIM échoue.

Il est important de noter que le domaine de signature compte autant que la signature elle-même. Certains fournisseurs signent par défaut avec leur propre domaine : vos emails passent donc DKIM sous le nom de quelqu'un d'autre. DMARC exige que le d=domain corresponde au domaine de votre adresse « De », ce qui implique de configurer DKIM avec votre propre domaine chez chaque service qui envoie pour vous.

Si vous craignez que votre clé DKIM soit compromise, il existe deux façons très simples de vous protéger. La première consiste à utiliser des clés de 2048 bits au lieu de 1024 bits, bien plus difficiles à casser, et la seconde à les faire tourner régulièrement. De nombreux fournisseurs gèrent la rotation automatiquement grâce à des configurations basées sur des CNAME. Mais si, pour une raison quelconque, ce n'est pas le cas du vôtre, pensez à planifier une rotation manuelle dans votre processus de sécurité email.

Iris Cox, Customer Success Engineer chez Red Sift, l'a expliqué avec une image événementielle. SPF est la liste des invités, DKIM est le badge de conférence, et DMARC est le videur à l'entrée qui décide qui peut entrer. DMARC vérifie si le message passe SPF ou DKIM avec un domaine qui correspond à l'adresse « De » que voient les destinataires. Cette correspondance s'appelle l'alignement, et elle comble la faille d'usurpation que SPF et DKIM laissent ouverte à eux seuls.

La balise p= définit votre politique DMARC pour les emails en échec. Avec p=none, rien n'arrive aux messages non alignés ; vous obtenez uniquement des rapports. Avec p=quarantine, les emails en échec vont dans les spams. Enfin, avec p=reject, les messages non conformes sont rejetés. La balise pct= définit la part des emails en échec à laquelle la politique s'applique, et BIMI exige qu'elle soit à 100.

L'époque où il suffisait de lancer un serveur de messagerie et de cliquer sur Envoyer est révolue. L'authentification est la nouvelle norme, et de nombreux ESP et fournisseurs de messagerie l'exigent avant même de vous laisser envoyer.

Tout se résume à la confiance. Les fournisseurs de messagerie veulent savoir si les emails qui prétendent venir de votre domaine en viennent vraiment. Les destinataires veulent savoir la même chose. Lorsque les expéditeurs s'authentifient correctement, les fournisseurs de boîtes de réception les récompensent par un meilleur traitement. Google, Yahoo et Microsoft exigent désormais l'authentification pour les expéditeurs en masse. Mailgun a détaillé ce que les exigences de Gmail et Yahoo signifient pour votre programme, et a échangé directement avec Yahoo sur ces exigences pour comprendre le point de vue des fournisseurs eux-mêmes : il était clair que les rapports ne suffisaient pas à protéger leurs clients.

Et si vous vous dites « nous ne sommes pas un expéditeur en masse, cela ne nous concerne pas », détrompez-vous. Les reçus, les réinitialisations de mot de passe et autres emails transactionnels s'additionnent vite, et il est facile de dépasser le seuil de volume sans même s'en rendre compte. Beaucoup d'entreprises sont des expéditeurs en masse sans encore le savoir.

Une fois que votre domaine atteint quarantine ou reject à 100 %, vous pouvez enfin demander un certificat BIMI. Mailgun parle de la récompense d'une authentification solide, et c'est exactement cela. Il s'agit d'un enregistrement DNS associé à une version SVG de votre logo, appuyé par un certificat qui prouve que vous êtes bien qui vous prétendez être.

Il existe deux types de certificats. Un VMC (Verified Mark Certificate) exige une marque déposée. Un CMC (Common Mark Certificate) exige que vous utilisiez publiquement votre logo depuis au moins 12 mois, ce que vérifie une autorité de certification. Dans les deux cas, Gmail affiche votre logo et une coche bleue à côté du nom de l'expéditeur. Pour le détail de chacun, consultez l'analyse de Red Sift sur les exigences VMC et CMC.

Atteindre BIMI par vos propres moyens est frustrant. Formater correctement le SVG, vérifier l'enregistrement et gérer la demande de certificat sont autant d'étapes où l'on trébuche. C'est pourquoi nous avons créé BIMI Maker, un outil gratuit qui rend l'ensemble du processus aussi simple que possible.

Vous pouvez prévisualiser votre logo en mode clair et sombre, en cercle et en carré arrondi, et ajuster sa taille au pixel près. BIMI Maker génère ensuite un SVG conforme. Vous choisissez ensuite votre type de certificat (CMC aujourd'hui, la prise en charge des VMC arrive bientôt), vérifiez votre adresse email et obtenez une analyse complète de la conformité de votre enregistrement et de votre logo. Vous pouvez télécharger un PDF de vos preuves, vous envoyer les résultats par email et lancer votre demande directement.

Un CMC coûte environ 1 000 $ par an pour le premier domaine. Les domaines supplémentaires utilisant le même logo bénéficient d'un tarif réduit d'environ 450 $ chacun.

Commencez par collecter les rapports DMARC pendant quelques semaines et identifiez chaque service qui envoie en votre nom. Classez-les entre ce que vous payez, ce que vous autorisez et ce qui ne devrait jamais envoyer d'emails. Supprimez les entrées SPF obsolètes, authentifiez les expéditeurs légitimes et bloquez le reste. Passez ensuite d'abord à quarantine, puis à reject. Passer directement de none à reject est la recette idéale pour des rejets inattendus, sauf s'il s'agit d'un domaine parké.

Cela dit, la coordination compte autant que la configuration. Les équipes découvrent régulièrement que le recrutement ou un autre service envoyait depuis le domaine principal sans que l'IT le sache. Annoncez largement le changement, avancez du domaine principal vers les sous-domaines, et attendez-vous à davantage de surprises dans les grandes organisations.

À la fois direct et indirect. Les fournisseurs de messagerie se concentrent surtout sur DMARC. L'effet principal de BIMI vient des destinataires. Lorsque les gens reconnaissent votre marque dans leur boîte de réception, ils ouvrent et interagissent davantage, et cet engagement renforce votre réputation et améliore votre délivrabilité. De plus en plus d'organisations durcissent leurs politiques entrantes pour n'accepter que les emails de domaines appliquant DMARC, et certaines pourraient commencer à exiger BIMI. Vous ne contrôlez pas leurs flux entrants. Vous contrôlez vos flux sortants.

Dans une étude de Red Sift comparant des emails avec et sans logo visible, nous avons observé jusqu'à 44 % de mémorisation de marque en plus, 39 % de taux d'ouverture en plus et 32 % d'intention d'achat en plus.

• Essayez gratuitement BIMI Maker et découvrez à quel point votre domaine est prêt pour BIMI.
• Créez un compte OnDMARC gratuit avec Red Sift pour voir qui envoie en votre nom.
• Besoin d'aide côté envoi ? Mailgun propose des comptes gratuits ainsi que des services de délivrabilité assurés par l'équipe de technical account management de JT.