Recap del webinar: Verso BIMI con Mailgun e Red Sift

Tutti vogliono che il proprio logo compaia accanto alle email in Gmail, ma poche aziende sono disposte a fare ciò che serve per ottenerlo. Insieme, Red Sift e Mailgun hanno ripercorso l'intero percorso verso BIMI, dalle basi dell'autenticazione fino alla richiesta BIMI.

Ti sei perso il webinar? Ti aggiorniamo qui, oppure puoi sempre guardare la registrazione.

BIMI è il premio per aver portato DMARC in enforcement. E la maggior parte delle aziende non ci è ancora arrivata. Solo il 7% circa delle organizzazioni ha DMARC completamente bloccato su quarantine o reject. Questo lascia circa il 93% dei domini esposto a chiunque voglia inviare email spacciandosi per loro.

Ma prima di parlare di loghi, abbiamo affrontato le basi.

Jonathan Torres, Technical Account Manager di Mailgun, ha un modo molto semplice per ricordare come funziona SPF: è come avere il proprio nome su una lista degli invitati o in un elenco telefonico. Più precisamente, il record SPF è un singolo record TXT nel DNS del tuo dominio che elenca ogni server e servizio autorizzato a inviare email per tuo conto.

Quando arriva un messaggio, il server ricevente cerca il record SPF del dominio indicato nel return path e verifica se l'indirizzo IP mittente è nella lista. Detto questo, un attaccante può superare SPF su un dominio di sua proprietà inserendo comunque il tuo brand nel campo “Da”. È per questo che SPF da solo non basta come protezione, ed è per questo che sono arrivati altri metodi di autenticazione.

DKIM funziona come un sistema di serratura e chiave. Pubblichi una chiave pubblica nel DNS e ogni messaggio che invii viene firmato con quella chiave. Quando arriva un messaggio, il server ricevente legge il selettore e il dominio dall'intestazione, recupera la chiave pubblica e verifica la firma rispetto al messaggio. La firma copre il corpo e intestazioni chiave come “Da” e “Oggetto”. Se qualcuno modifica il messaggio durante il transito, DKIM fallisce.

È importante notare che il dominio di firma conta quanto la firma stessa. Alcuni provider firmano per impostazione predefinita con il proprio dominio, quindi le tue email superano DKIM a nome di qualcun altro. DMARC richiede che il d=domain corrisponda al dominio del tuo indirizzo “Da”, il che significa configurare DKIM con il tuo dominio su ogni servizio che invia per tuo conto.

Se temi che la tua chiave DKIM venga compromessa, ci sono due modi molto semplici per proteggerti. Il primo è usare chiavi a 2048 bit invece che a 1024 bit, molto più difficili da violare; il secondo è ruotarle regolarmente. Molti provider gestiscono la rotazione automaticamente tramite configurazioni basate su CNAME. Ma se, per qualsiasi motivo, il tuo non lo fa, ricordati di pianificare una rotazione manuale come parte del tuo workflow di sicurezza email.

Iris Cox, Customer Success Engineer di Red Sift, l'ha spiegato con un'immagine da evento. SPF è la lista degli invitati, DKIM è il badge della conferenza e DMARC è il buttafuori alla porta che decide chi può entrare. DMARC verifica se il messaggio supera SPF o DKIM con un dominio che corrisponde all'indirizzo “Da” visto dai destinatari. Questa corrispondenza si chiama allineamento e chiude la falla di spoofing che SPF e DKIM, da soli, lasciano aperta.

Il tag p= imposta la tua policy DMARC per le email che falliscono. Con p=none non succede nulla ai messaggi non allineati; ricevi solo report. Con p=quarantine le email che falliscono finiscono nello spam. Infine, con p=reject i messaggi non conformi vengono respinti. Il tag pct= stabilisce a quale quota delle email che falliscono si applica la policy, e BIMI richiede che sia impostato a 100.

I tempi in cui bastava avviare un server di posta e premere Invia sono finiti da un pezzo. L'autenticazione è la nuova normalità, e molti ESP e mailbox provider la richiedono prima ancora di permetterti di inviare.

Tutto torna alla fiducia. I mailbox provider vogliono sapere che le email che dichiarano di provenire dal tuo dominio provengano davvero da lì. I destinatari vogliono sapere la stessa cosa. Quando i mittenti si autenticano correttamente, i provider di posta li premiano con un trattamento migliore. Google, Yahoo e Microsoft ora richiedono l'autenticazione ai bulk sender. Mailgun ha spiegato cosa significano i requisiti di Gmail e Yahoo per il tuo programma e ha parlato direttamente con Yahoo di questi requisiti per capire il punto di vista dei mailbox provider stessi: era chiaro che i report non bastavano a proteggere i loro clienti.

E se stai pensando “non siamo un bulk sender, quindi non ci riguarda”, ripensaci. Ricevute, reset delle password e altre email transazionali si sommano in fretta, ed è facile superare la soglia di volume senza nemmeno accorgersene. Molte aziende sono bulk sender e semplicemente non lo sanno ancora.

Una volta che il tuo dominio raggiunge quarantine o reject al 100%, puoi finalmente richiedere un certificato BIMI. Mailgun la definisce la tua ricompensa per un'autenticazione solida, ed è esattamente così. Si tratta di un record DNS più una versione SVG del tuo logo, supportati da un certificato che dimostra che sei davvero chi dici di essere.

Esistono due tipi di certificato. Un VMC (Verified Mark Certificate) richiede un marchio registrato. Un CMC (Common Mark Certificate) richiede che tu usi pubblicamente il tuo logo da almeno 12 mesi, verificato da un'autorità di certificazione. In entrambi i casi, in Gmail ottieni il tuo logo più una spunta blu accanto al nome del mittente. Per i dettagli su ciascuno, leggi l'approfondimento di Red Sift sui requisiti VMC e CMC.

Arrivare a BIMI con il fai-da-te è frustrante. Formattare correttamente l'SVG, verificare il record e gestire la richiesta di certificato sono tutti passaggi in cui si inciampa. Per questo abbiamo creato BIMI Maker, uno strumento gratuito che rende l'intero processo il più semplice possibile.

Puoi visualizzare l'anteprima del tuo logo in modalità chiara e scura, in cerchi e quadrati arrotondati, e regolarne le dimensioni al pixel. BIMI Maker genera poi un SVG conforme. Da lì scegli il tipo di certificato (oggi CMC, con il supporto VMC in arrivo), verifichi il tuo indirizzo email e ottieni un'analisi completa di readiness del tuo record e del tuo logo. Puoi scaricare un PDF delle tue prove, inviarti i risultati via email e avviare la richiesta direttamente lì.

Un CMC costa circa 1.000 $ all'anno per il primo dominio. I domini aggiuntivi con lo stesso logo sono disponibili a una tariffa scontata di circa 450 $ ciascuno.

Inizia raccogliendo i report DMARC per qualche settimana e identificando ogni servizio che invia per tuo conto. Suddividili tra quelli che paghi, quelli che autorizzi e quelli che non dovrebbero mai inviare email. Rimuovi le voci SPF obsolete, autentica i mittenti legittimi e blocca il resto. Poi passa prima a quarantine e poi a reject. Saltare direttamente da none a reject è la ricetta perfetta per bounce inaspettati, a meno che non si tratti di un dominio parcheggiato.

Detto questo, il coordinamento conta quanto la configurazione. I team scoprono spesso che il recruiting o un altro reparto inviava dal dominio principale senza che l'IT lo sapesse. Comunica il cambiamento a tutti, procedi dal dominio principale verso i sottodomini e aspettati più sorprese nelle organizzazioni più grandi.

Sia direttamente sia indirettamente. I mailbox provider si concentrano soprattutto su DMARC. L'effetto maggiore di BIMI arriva dai destinatari. Quando le persone riconoscono il tuo brand nella inbox, aprono e interagiscono di più, e questo engagement rafforza la reputazione e migliora il posizionamento in inbox. Sempre più organizzazioni stanno restringendo le policy in ingresso per accettare solo email da domini con enforcement DMARC, e alcune potrebbero iniziare a richiedere BIMI. Non controlli il loro traffico in entrata. Controlli il tuo in uscita.

Nella ricerca di Red Sift che ha confrontato email con e senza logo visibile, abbiamo osservato fino al 44% in più di brand recall, un aumento del 39% dei tassi di apertura e un aumento del 32% dell'intenzione d'acquisto.

• Prova gratis BIMI Maker e scopri quanto il tuo dominio è vicino a essere pronto per BIMI.
• Apri un account OnDMARC gratuito con Red Sift per vedere chi invia per tuo conto.
• Ti serve aiuto sul fronte dell'invio? Mailgun offre account gratuiti e servizi di deliverability supportati dal team di technical account management di JT.