Che cos’è Brand Indicators for Message Identification (BIMI)?

Brand Indicators for Message Identification (BIMI) è lo standard email che mostra il logo verificato del tuo brand accanto ai messaggi che invii. Porta DMARC in enforcement, aggiungi un Mark Certificate e un logo SVG conforme, pubblica il record BIMI e il tuo logo comparirà ai destinatari dei provider partecipanti come Gmail.

Per essere idoneo, il tuo dominio deve avere DMARC in enforcement. Le regole attuali dei provider lo definiscono come una policy DMARC p=quarantine o p=reject applicata a tutta la tua posta e, se pubblichi una policy per i sottodomini, anche il valore sp= deve essere in enforcement. Una policy di solo monitoraggio p=none non è accettata.

BIMI accetta due tipi di prova per il tuo logo. Un Verified Mark Certificate (VMC) attesta un marchio registrato. Un Common Mark Certificate (CMC) copre un logo che hai mostrato pubblicamente su un dominio di tua proprietà per almeno 12 mesi senza un marchio registrato. Gmail accetta un VMC o un CMC e mostra il segno di spunta di verifica solo per un VMC.

Abbina BIMI a DMARC in enforcement e il tuo logo potrà comparire nelle caselle di posta che lo supportano, come Gmail e Yahoo. L’enforcement DMARC riduce lo spoofing del dominio esatto, ma non blocca ogni forma di impersonificazione, perché restano i domini lookalike e i trucchi sul nome visualizzato.

BIMI inserisce il tuo logo accanto al tuo indirizzo email presso i provider partecipanti. Non impedisce il Business Email Compromise (BEC), che è compito di DMARC, e se qualcuno falsifica il tuo dominio mentre BIMI è attivo, il tuo logo non comparirà. A seconda della tua policy DMARC, il messaggio potrebbe anche non arrivare affatto.

Come i record SPF, DKIM e DMARC, anche il record BIMI risiede nel tuo DNS come file di testo (TXT). Quando un messaggio che invii raggiunge la casella del destinatario, il server ricevente consulta il record per confermare che la posta sia autenticata con DMARC. Una volta che il messaggio supera DMARC con p=quarantine o p=reject, il record TXT indica al server ricevente dove si trova il logo e quale certificato lo convalida, e il provider può quindi mostrare il logo.

Se la tua policy DMARC è impostata su p=none, BIMI non funzionerà. I provider valutano un logo solo quando la policy DMARC del tuo dominio è in enforcement.

Il tuo prerequisito è DMARC in enforcement. Se non ci sei ancora, segui prima come raggiungere l’enforcement DMARC, poi torna a BIMI.

I requisiti di preparazione coprono sei aree. Soddisfale tutte e sei prima di richiedere un certificato o pubblicare un record.

Segui le fasi in ordine. Ogni fase è il presupposto della successiva, quindi non iniziare una fase successiva finché quella precedente non è stabile.

Fase 1. Raggiungi l’enforcement DMARC. Verifica la tua policy DMARC attuale, analizza i report aggregati per individuare i fallimenti di autenticazione, autentica ogni fonte di invio legittima (inclusi i mittenti di terze parti come ESP e CRM), passa a p=quarantine e poi a p=reject quando la copertura dell’autenticazione è stabile. BIMI non può procedere finché la tua policy non è in enforcement e stabile. Di solito è la fase più lunga, in genere da 6 a 8 settimane, a seconda di quanti mittenti devi allineare.

Fase 2. Prepara e convalida il logo. Converti il logo in SVG P/S, convalidalo rispetto al profilo BIMI descritto nella sezione 5 e ospitalo via HTTPS a un URL pubblico stabile. Mantieni il marchio semplice, perché viene visualizzato come un piccolo avatar e i dettagli fini o il testo sottile diventano illeggibili. Se il tuo marchio registrato include il nome dell’azienda come testo separato, ti serve una versione che funzioni senza di esso, perché il logo di un VMC deve corrispondere al marchio registrato. Un CMC non richiede un marchio registrato, il che offre più flessibilità nella scelta del logo.

Fase 3. Richiedi il certificato. Scegli il tipo di prova. Un VMC richiede un marchio registrato in una giurisdizione riconosciuta, un CMC richiede 12 mesi di uso pubblico del logo e un Government Mark Certificate è destinato agli enti governativi. Completa la verifica dell’identità e del controllo del dominio richiesta dall’autorità di certificazione. Puoi inviare la richiesta tramite il flusso di lavoro di Red Sift OnDMARC. Una volta che hai i requisiti, l’emissione è di solito rapida, circa una o due settimane, anche se la registrazione di un marchio completamente nuovo per un VMC può richiedere mesi in più.

Fase 4. Pubblica il record BIMI. Genera il record TXT con l’URL del logo e l’URL del certificato, convalida la sintassi, pubblicalo nella tua zona DNS e attendi la propagazione DNS, di solito un giorno o due. Poi verifica il tuo BIMI, invia messaggi di prova a Gmail, Yahoo e altri provider che lo supportano e conferma che il logo venga mostrato. Solo un VMC produce il segno di spunta di verifica di Gmail.

Fase 5. Monitora e gestisci. Mantieni DMARC in enforcement, imposta avvisi per qualsiasi declassamento della policy, tieni traccia della scadenza del certificato e rinnovalo prima che scada. La sezione 9 tratta in dettaglio la manutenzione e i rebranding.

Pubblica il record come voce DNS TXT in questa posizione.

default._bimi.example.com    IN TXT

Il valore utilizza tre tag.

v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/certificate.pem

• v= è la versione ed è sempre BIMI1.
• l= è l’URL HTTPS del tuo file logo SVG P/S.
• a= è l’URL HTTPS del tuo certificato PEM, un VMC o un CMC.

Il tag a= è facoltativo nella specifica BIMI ed è riservato a un VMC o a un CMC. Quando a= è vuoto o assente, il record è autodichiarato, cioè un logo senza certificato. I record autodichiarati hanno un supporto limitato e incoerente da parte dei provider e Gmail non li mostra.

Per i provider che richiedono un certificato, il logo viene letto tramite il certificato indicato in a=, quindi il file in l= e il logo associato al certificato devono essere lo stesso marchio.

Il tuo file SVG deve rispettare il profilo SVG P/S, un profilo di SVG Tiny 1.2. L’elemento radice deve avere baseProfile="tiny-ps" e version="1.2" senza attributi x= o y= sulla radice, è obbligatorio un elemento <title> con il nome dell’azienda, la grafica deve essere quadrata con uno sfondo pieno non trasparente e il file deve pesare al massimo 32 KB, senza script, animazioni o riferimenti esterni.

Ospita il file via HTTPS a un URL stabile, servilo con il tipo MIME image/svg+xml e mantienilo pubblicamente raggiungibile, senza autenticazione né blocchi di hotlinking, geografici o tramite robots sulle richieste dei provider.

Dopo la pubblicazione, verifica il tuo BIMI per convalidare il record e il logo.

Se il tuo logo non compare, prova questi passaggi di risoluzione dei problemi.

1. Policy DMARC in enforcement. Conferma che la policy pubblicata sia p=quarantine o p=reject per tutta la posta, compreso l’eventuale sp=. Azione successiva: leggi il tuo record DMARC attuale.
2. Allineamento dei messaggi reali. Conferma che i messaggi realmente inviati superino DMARC con SPF o DKIM allineati, non solo che esista un record. Azione successiva: controlla i report aggregati o invia un test a un indirizzo seed.
3. Record BIMI e selector. Conferma che il record TXT esista su default._bimi per il dominio di invio, con v=, l= e a= validi e con il selector che usi effettivamente. Azione successiva: interroga il record.
4. Validità dell’SVG. Conferma che il file rispetti il profilo SVG P/S descritto nella sezione 5. Azione successiva: convalida l’SVG.
5. Hosting, TLS, MIME, reindirizzamenti e hotlinking. Conferma che il logo e il certificato si carichino via HTTPS con MIME image/svg+xml, senza catene di reindirizzamento e senza autenticazione né blocchi di hotlinking, geografici o tramite robots. Azione successiva: recupera entrambi gli URL dall’esterno della tua rete.
6. Validità del certificato o della prova. Conferma che il VMC o il CMC sia attuale, non scaduto, emesso da un’autorità di certificazione riconosciuta e associato allo stesso logo. Azione successiva: controlla le date di validità e il marchio del certificato.
7. Propagazione e cache. Attendi la propagazione DNS e che il provider aggiorni la propria cache dopo ogni modifica. Azione successiva: ripeti il test dopo la propagazione.
8. Idoneità del provider. Anche se tutti i controlli tecnici sono superati, ogni provider applica le proprie regole di reputazione, coinvolgimento e discrezionalità, e alcuni provider come Microsoft Outlook non visualizzano affatto BIMI in entrata. Azione successiva: verifica nella sezione 8 che il provider di destinazione supporti BIMI per il tuo caso.

Per i requisiti completi, le giurisdizioni e i ruoli, confronta VMC e CMC.

Il supporto varia a seconda del provider, e alcuni aggiungono condizioni proprie oltre a una configurazione BIMI valida. Controlla la riga dei provider usati dai tuoi destinatari.

Dove compare il tuo logo su desktop e mobile. La stessa configurazione valida può apparire in modo diverso sui vari dispositivi di chi legge, e questo conta quando pianifichi l’impatto del tuo brand sulle diverse piattaforme. Gmail mostra il logo nel client web e nelle app Android e iOS, con il segno di spunta di verifica (solo VMC) nella vista del messaggio. Yahoo e AOL lo mostrano nell’elenco dei messaggi e nella vista di lettura delle loro app mobile, e nella vista di lettura della webmail su desktop. Apple Mail lo mostra nella vista del messaggio su macOS 13, iOS 16 e iPadOS 16 e versioni successive. Alcune interfacce mostrano il logo nell’elenco della posta in arrivo, mentre altre solo dopo l’apertura del messaggio, quindi esegui i test sui dispositivi che i tuoi destinatari usano davvero.

Apple Business Connect è un programma Apple separato da BIMI, e iscriversi a Business Connect non equivale a pubblicare un record BIMI.

Mantieni la configurazione in salute dopo la messa in produzione. Mantieni DMARC in enforcement e imposta avvisi per qualsiasi declassamento, perché il logo smette di comparire se la tua policy scende sotto l’enforcement. Tieni traccia della scadenza del certificato, perché un VMC o un CMC è valido per circa un anno, fino a un massimo di 397 giorni, e il logo smette di comparire alla scadenza. Un rinnovo ordinario senza modifiche al logo riutilizza i tuoi URL esistenti.

Cambiare il logo è diverso dal rinnovarlo. Il logo è associato al certificato, quindi un nuovo logo richiede un nuovo certificato. Esegui un rebranding in questo ordine. Convalida il nuovo SVG rispetto al profilo BIMI, ottieni il certificato o la prova aggiornati per il nuovo marchio, ospita i nuovi file via HTTPS, aggiorna gli URL l= e a= nel tuo record DNS, attendi la propagazione DNS, convalida il record e invia messaggi di prova. Sostituire un logo associato a un certificato senza un nuovo certificato corrispondente interrompe il legame con il certificato e il logo smette di comparire.

Il prossimo passo più chiaro è verificare il tuo BIMI: il test analizza il tuo dominio e mostra cosa manca ancora.

Da lì, i percorsi più comuni dipendono da ciò che ti serve dopo.

• Se ti serve un file logo conforme, crea un logo SVG compatibile con BIMI.
• Se devi decidere quale prova usare, confronta VMC e CMC.
• Se preferisci che l’implementazione venga eseguita e gestita per te, ricevi assistenza nella gestione dell’implementazione BIMI.

• BIMI Group — Implementation Guide
• BIMI Group — FAQs for Senders and ESPs
• BIMI Group — Creating a BIMI SVG logo
• BIMI Group — Participating providers
• Google Workspace — Set up BIMI
• Yahoo Sender Hub — BIMI
• Apple — Support BIMI in Apple Mail
• Fastmail — Using BIMI
• DigiCert — Verified Mark Certificates
• DigiCert — BIMI setup guide (VMC and CMC)
• SSL.com — Common Mark Certificate