Tak, BIMI możesz opublikować bez VMC. Rekord self-asserted BIMI pokazuje Twoje logo w Yahoo, AOL i Fastmail bez żadnego certyfikatu i bez kosztów, certyfikat Common Mark (CMC) odblokowuje wyświetlanie logo w Gmailu bez zarejestrowanego znaku towarowego, a certyfikat Verified Mark (VMC) to jedyna rzecz, która daje niebieski znacznik weryfikacji w Gmailu. Uczciwy haczyk polega na tym, że Gmail całkowicie ignoruje rekord self-asserted, więc bezpłatna ścieżka kończy się na skrzynkach z rodziny Yahoo oraz na Fastmail.
Zanim wydasz choć złotówkę albo godzinę na jakiekolwiek logo, upewnij się, że wymagania wstępne są rzeczywiście spełnione. BIMI nie robi nic, dopóki Twoja domena nie egzekwuje DMARC i nie przechodzi uwierzytelniania, więc najpierw uruchom sprawdzenie.
Odczytujemy wyłącznie publiczny DNS. Nic nie zapisujemy, dopóki nie przypiszesz domeny do konta.
Co naprawdę oznacza "self-asserted BIMI"
BIMI (Brand Indicators for Message Identification) to rekord DNS TXT, który wskazuje dostawcom skrzynek pocztowych logo, jakie mogą wyświetlić obok Twojej uwierzytelnionej poczty. Rekord znajduje się pod stałą nazwą hosta i wygląda tak:
default._bimi.yourdomain.com. IN TXT "v=BIMI1; l=https://yourdomain.com/logo.svg;"
Tag l= to adres URL Twojego logo. Tag a=, który wskazuje na certyfikat, jest w specyfikacji opcjonalny. Kiedy publikujesz rekord z tagiem l=, a tag a= pozostawiasz pusty, masz rekord self-asserted BIMI. Sam potwierdzasz, że logo należy do Ciebie, bez weryfikacji przez stronę trzecią.
Self-asserted działa dziś w Yahoo Mail, AOL i Fastmail. Ci dostawcy pobiorą Twój plik SVG i wyrenderują go jako awatar dla poczty, która przechodzi DMARC przy egzekwowanej polityce. Nie ma wniosku, weryfikacji ani rocznej opłaty. Jeśli Twoi odbiorcy to głównie konsumenckie adresy Yahoo i AOL, samo to jest warte zrobienia.
Plik z logo ma ścisłe zasady. Musi być w profilu SVG Tiny Portable/Secure (SVG P/S), kwadratowy, z jednolitym tłem i powinien być niewielki. Typowym powodem odrzucenia jest wyeksportowanie zwykłego SVG z narzędzia graficznego zamiast profilu Tiny P/S, który usuwa skrypty, odwołania zewnętrzne i animacje. Hostuj plik przez HTTPS pod stabilnym adresem URL.
Problem z Gmailem: dlaczego self-asserted tam nie wystarcza
Gmail to powód, dla którego ten temat wywołuje zamieszanie. Google wyświetla logo BIMI, ale nie honoruje rekordu self-asserted. Gmail wymaga, aby tag a= wskazywał na ważny certyfikat wydany przez autoryzowany urząd certyfikacji. Bez certyfikatu nie ma logo w Gmailu, koniec kropka.
Zostają zatem dwie opcje certyfikatu, a różnica między nimi polega na tym, jakie dowody sprawdza urząd certyfikacji.
Certyfikat Common Mark (CMC)
CMC pozwala wyświetlić logo w Gmailu bez posiadania zarejestrowanego znaku towarowego. Obejmuje znaki, które nie są objęte znakiem towarowym, w tym logo używane wcześniej oraz niektóre znaki rządowe lub o charakterze publicznym. Urząd certyfikacji weryfikuje, że kontrolujesz domenę i że logo należy do Twojej organizacji, ale nie wymaga numeru rejestracji znaku towarowego.
Dla firmy, która nigdy nie zastrzegła swojego logo, CMC to praktyczna droga do wyświetlania logo w Gmailu. Twój rekord BIMI zawiera wtedy oba tagi:
default._bimi.yourdomain.com. IN TXT "v=BIMI1; l=https://yourdomain.com/logo.svg; a=https://yourdomain.com/cmc.pem;"
Wartość a= to adres URL pliku certyfikatu PEM, hostowanego przez HTTPS obok Twojego logo.
Certyfikat Verified Mark (VMC)
VMC wymaga znaku towarowego zarejestrowanego w uznanym urzędzie ds. znaków towarowych (USPTO, EUIPO oraz inne uczestniczące rejestry). Kosztuje więcej i trwa dłużej, ponieważ urząd certyfikacji weryfikuje rejestrację. W zamian Gmail pokazuje Twoje logo wraz z niebieskim znacznikiem weryfikacji, wizualnym sygnałem, że Google ufa tożsamości nadawcy. CMC daje logo, ale nie znacznik.
Model myślowy jest więc prosty. Logo w Yahoo/AOL/Fastmail jest bezpłatne. Logo w Gmailu wymaga CMC lub VMC. Niebieski znacznik w Gmailu wymaga konkretnie VMC.
Mapa decyzji
Wybierz ścieżkę pasującą do Twojej rzeczywistości, a nie tę najdroższą.
- Chcesz najtańszego widocznego efektu, a Twoi użytkownicy są w Yahoo/AOL/Fastmail: opublikuj tylko self-asserted BIMI. Bez certyfikatu.
- Chcesz wyświetlania logo w Gmailu, a nie masz zarejestrowanego znaku towarowego: zdobądź CMC. To obszar
bimi bez znaku towarowegoi jest to legalna ścieżka, a nie obejście. - Chcesz niebieskiego znacznika w Gmailu i posiadasz lub zarejestrujesz znak towarowy: zdobądź VMC. Zaplanuj budżet na proces rejestracji znaku towarowego, jeśli jeszcze go nie zacząłeś.
- Nie egzekwujesz jeszcze DMARC: nie rób nic z powyższego. Najpierw napraw DMARC, ponieważ każda ścieżka BIMI bez niego zawodzi.
Przydatna kolejność to opublikowanie self-asserted BIMI pierwszego dnia, a następnie dołożenie na wierzch CMC lub VMC później przez dodanie tagu a=. Ten sam rekord default._bimi ewoluuje. Niczego nie demontujesz.
Wymagania wstępne wspólne dla każdej ścieżki
BIMI to nagroda za dobre uwierzytelnianie, a nie jego substytut. Dostawcy nawet nie spojrzą na Twoje logo, dopóki poniższe warunki nie zostaną spełnione.
DMARC przy egzekwowanej polityce
Twoja domena musi publikować rekord DMARC z polityką p=quarantine lub p=reject. Polityka p=none nie kwalifikuje się do BIMI w Yahoo ani Gmailu. Wielu dostawców oczekuje też poprawnej obsługi sp= dla subdomen, a dla najsilniejszego traktowania polityki, która nie jest rozwodniona niską wartością pct. Jeśli nadal jesteś na p=none, przepracuj jak przenieść DMARC z none do reject, zanim dotkniesz BIMI.
_dmarc.yourdomain.com. IN TXT "v=DMARC1; p=reject; rua=mailto:reports@yourdomain.com;"
SPF i DKIM, które przechodzą i są zgodne
Egzekwowanie DMARC ma sens tylko wtedy, gdy Twoja prawidłowa poczta przechodzi SPF lub DKIM ze zgodnością (alignment). Jeśli Twoja poczta nie przechodzi zgodności, egzekwowanie p=reject zablokuje Twoje własne wiadomości, a BIMI nigdy się nie uruchomi, ponieważ poczta w ogóle nie przechodzi DMARC. Najpierw potwierdź, że zgodność jest zdrowa, a jeśli widzisz, że DKIM przechodzi, ale SPF zawodzi lub odwrotnie, przeczytaj dlaczego DKIM zawodzi, gdy SPF przechodzi oraz jak naprawić zgodność DKIM.
Rekord pod właściwą nazwą hosta
BIMI korzysta z nazwy hosta opartej na selektorze selector._bimi.yourdomain.com, gdzie domyślnym selektorem jest default. Jeśli w swojej poczcie ustawiasz nagłówek BIMI-Selector:, musi on pasować do opublikowanego rekordu. Większość nadawców używa default i nigdy nie dotyka tego nagłówka.
Poziom egzekwowania DMARC, zgodność SPF i DKIM oraz obecność składniowo poprawnego rekordu BIMI możesz potwierdzić za jednym razem darmowym narzędziem powyżej. To najtańszy sposób, aby uniknąć płacenia za certyfikat na domenie, która nigdy nie wyświetli logo, bo DMARC utknął na none.
Co BIMI Ci daje, a czego nie
Ustaw oczekiwania uczciwie. BIMI nie poprawia bezpośrednio dostarczalności w sposób, na jaki ludzie liczą. Samo z siebie nie wypycha poczty ze spamu i nie jest samodzielnym mechanizmem antyphishingowym. Robi natomiast to, że sprawia, iż uwierzytelniona poczta jest bardziej rozpoznawalna i trudniejsza do wizualnego podszywania się, co wspiera zaufanie do marki i może podnieść zaangażowanie, gdy Twoje uwierzytelnianie jest już solidne. Prawdziwą ochronę przed spoofingiem daje egzekwowanie DMARC pod spodem, opisane w jak zatrzymać spoofing e-mail Twojej domeny.
Jeśli gonisz za dostarczalnością do skrzynki odbiorczej, a nie za logo, bardziej opłacalną pracą jest spełnienie wymagań nadawcy Google i Yahoo oraz naprawienie przyczyn, dla których e-maile trafiają do spamu. BIMI to wykończenie po tym, jak te elementy są gotowe, a pełny przewodnik po logo i certyfikacie znajdziesz w jak skonfigurować BIMI i VMC.
Najczęściej zadawane pytania
Czy mogę mieć logo BIMI w Gmailu bez VMC?
Tak, z CMC. Certyfikat Common Mark pozwala Gmailowi wyświetlić Twoje logo bez zarejestrowanego znaku towarowego. VMC potrzebujesz tylko wtedy, gdy chcesz niebieski znacznik weryfikacji obok logo. Czego nie da się zrobić, to pokazać logo w Gmailu z rekordem self-asserted i bez żadnego certyfikatu.
Którzy dostawcy obsługują self-asserted BIMI?
Yahoo Mail, AOL i Fastmail renderują dziś logo self-asserted, bez wymaganego certyfikatu. Gmail tego nie robi, ponieważ wymaga tagu certyfikatu a=. Obsługa BIMI w Apple Mail również jest powiązana z rekordami opartymi na certyfikacie, więc traktuj self-asserted jako funkcję dla rodziny Yahoo oraz Fastmail.
Czy do BIMI potrzebuję DMARC na reject?
Potrzebujesz co najmniej p=quarantine, a p=reject jest najbezpieczniejszy dla pełnego wsparcia. Polityka p=none się nie kwalifikuje. Potwierdź swoją aktualną politykę oraz zgodność SPF/DKIM przed zakupem jakiegokolwiek certyfikatu, ponieważ BIMI nigdy nie uruchomi się na poczcie, która nie przechodzi DMARC przy egzekwowaniu.
Czy CMC jest tańszy niż VMC?
Co do zasady certyfikaty są wyceniane podobnie, ale CMC pozwala uniknąć kosztu i wielomiesięcznego procesu rejestracji znaku towarowego, który jest drogą częścią ścieżki VMC. Jeśli nie masz znaku towarowego i nie potrzebujesz znacznika w Gmailu, CMC to niższy całkowity koszt dojścia do wyświetlania logo w Gmailu.