BIMI kurulumu ve gereksinimleri

BIMI nedir

BIMI, Brand Indicators for Message Identification (İleti Tanımlama için Marka Göstergeleri) ifadesinin kısaltmasıdır. Bir domainin e-posta sağlayıcılarına resmi logosunu nerede bulacaklarını söylemesinin bir yoludur. Böylece sağlayıcı, o domainden gelen kimliği doğrulanmış iletilerin yanında, gelen kutusunda logoyu gösterebilir. Domain, logoyu ve isteğe bağlı olarak onu kullanma hakkını kanıtlayan bir sertifikayı gösteren bir TXT kaydı yayınlar.

BIMI bir kimlik doğrulama mekanizması değildir. E-postanın doğrulanma biçimine hiçbir şey eklemez. DMARC uygulamasına zaten ulaşmış domainler için görünür bir ödüldür ve böyle planlanmalıdır: bir kestirme yol olarak değil, bir e-posta kimlik doğrulama projesinin son adımı olarak.

Dört gereksinim

Logo yalnızca bunların her biri sağlandığında görünür. Çoğu domainin karşılamadığı gereksinim ilkidir.

1. Uygulama düzeyinde DMARC: politika, kurumsal domainde quarantine veya reject olmalı ve bütün e-postaya uygulanmalıdır.
2. SVG Tiny PS biçiminde, bir HTTPS adresinde barındırılan bir logo.
3. Gmail ve Apple Mail için, logoyu kapsayan bir marka sertifikası.
4. Logoyu ve sertifikayı gösteren bir BIMI TXT kaydı.

DMARC uygulaması, tam olarak

E-posta sağlayıcıları, kendini sahteciliğe karşı korumayan bir domain için logo göstermez, çünkü o zaman logo sahte e-postaya inandırıcılık kazandırırdı. DMARC politikası p=quarantine veya p=reject olmalıdır. p=none politikası yeterli sayılmaz. 100'ün altındaki bir pct değeri de büyük sağlayıcılarda yeterli sayılmaz. sp=none şeklindeki bir alt domain politikası da domaini kapsam dışı bırakabilir.

Tek tek her iletinin de DMARC'tan geçmesi gerekir. Bu, SPF veya DKIM'in hizalı olarak geçmesi demektir. Domaininiz hâlâ p=none düzeyindeyse oradan başlayın. Uygulamaya güvenle ulaşmak haftalarca toplu rapor okumayı gerektirir ve logo üzerinde ne kadar çalışırsanız çalışın bu değişmez.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Logo dosyası

Logo, SVG Tiny Portable/Secure adlı, genellikle SVG Tiny PS olarak yazılan kısıtlı bir profilde bir SVG olmalıdır. Bir tasarım aracından dışa aktarılmış sıradan bir SVG bu profilde değildir ve reddedilir. Profil betikleri, animasyonu, dış başvuruları ve gömülü bit eşlem (bitmap) görüntüleri yasaklar ve kök öğede belirli özniteliklerin bulunmasını şart koşar.

1. Kök öğe 1.2 sürümünü ve tiny-ps temel profilini bildirir.
2. Marka adını içeren bir title öğesi bulunur.
3. Betik yok, animasyon yok, dış dosyalara bağlantı yok ve gömülü raster görüntü yok.
4. Kare en boy oranı, çünkü sağlayıcılar logoyu bir kare veya daire içinde gösterir.
5. Saydamlık yerine düz bir arka plan rengi. Böylece logo açık ve koyu temalarda aynı görünür.
6. Kenarlarında biraz boşluk bırakılmış, ortalanmış bir logo, çünkü dairesel kırpma köşeleri keser.
7. Küçük bir dosya. Boyutu, sağlayıcıların yayınladığı sınırların epeyce altında tutun.

<svg xmlns="http://www.w3.org/2000/svg" version="1.2" baseProfile="tiny-ps" viewBox="0 0 512 512">
  <title>Example Ltd</title>
  <rect width="512" height="512" fill="#10203C"/>
  <path d="..." fill="#ffffff"/>
</svg>

Marka sertifikaları: VMC ve CMC

Marka sertifikası, kuruluşunuzu ve logo üzerindeki hakkınızı denetlemiş bir sertifika otoritesi tarafından verilir. Logonun kendisini içerir. Böylece e-posta sağlayıcısı, barındırdığınız dosyanın doğrulanmış dosya olduğunu teyit edebilir. İki türü vardır.

Verified Mark Certificate (Doğrulanmış Marka Sertifikası), logonun sertifikayı verenlerin kabul ettiği fikri mülkiyet ofislerinden birinde tescilli marka olmasını gerektirir. Common Mark Certificate (Genel Marka Sertifikası) marka tescili gerektirmez. Logonun kuruluş tarafından belirli bir süredir kamuya açık biçimde kullanıldığına dair kanıta dayanarak verilir. Her ikisi de bir doğrulama süreci ve yıllık bir ücret içerir.

İkisi aynı muameleyi görmez. Gmail, her iki türle desteklenen logoları gösterir, doğrulanmış onay işaretini ise yalnızca Verified Mark Certificate için gösterir. Diğer sağlayıcılar kendi kurallarını koyar ve bu kurallar değişir. Bu yüzden satın almadan önce her sağlayıcının güncel belgelerini kontrol edin.

BIMI kaydı

Kayıt, domaininizin altında, _bimi altında, default seçicisinde (selector) duran bir TXT kaydıdır. l etiketi logonun adresini, a etiketi ise sertifika dosyasının adresini verir. İkisi de HTTPS olmalıdır. Sertifika yoksa a etiketi yazılmaz.

Bir domain, farklı logolar için başka seçiciler yayınlayabilir ve bunlar ileti başına BIMI-Selector başlığıyla seçilir. Ancak hemen her domain için yalnızca default yeterlidir.

default._bimi.example.com.  TXT  "v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/vmc.pem"

default._bimi.example.com.  TXT  "v=BIMI1; l=https://example.com/brand/logo.svg"

İşleri sıraya koyma

Aşağıdaki sıra, domain henüz kullanamayacakken bir sertifikaya para ödemenizi önler.

1. DMARC'ı yüzde 100 düzeyinde quarantine veya reject politikasına getirin ve birkaç hafta orada tutun.
2. Logoyu SVG Tiny PS olarak hazırlayın ve BIMI'yi tanıyan bir araçla doğrulayın.
3. Alıcılarınızın nerede olduğuna bakarak sertifikaya ihtiyacınız olup olmadığına karar verin. Çoğu Gmail veya Apple Mail kullanıyorsa ihtiyacınız vardır.
4. Logo tescilli bir marka değilse, ihtiyaç duyduğunuz yerde Common Mark Certificate kabul edilip edilmediğini kontrol edin ya da aylar süren marka tescil sürecini başlatın.
5. Sertifikayı alın. Sertifikayı veren kuruluş, sertifika zincirini içeren bir PEM dosyası gönderir.
6. SVG'yi ve PEM dosyasını değişmeyecek HTTPS adreslerinde barındırın.
7. BIMI kaydını yayınlayın ve geri okuyun.
8. Test iletileri gönderin ve bekleyin. Sağlayıcıların logoyu göstermeye başlaması günler sürebilir.

Doğru bir kayıt neden hiçbir şey göstermez

BIMI bir taleptir ve onu yerine getirip getirmeyeceğine her sağlayıcı kendisi karar verir. Kayıt doğruyken logo görünmüyorsa, neden genellikle aşağıdakilerden biridir.

1. DMARC politikası p=none, veya pct 100'ün altında, veya alt domain politikası none.
2. İletinin kendisi DMARC'tan geçemedi ya da yalnızca, kurumsal domaini uygulama düzeyinde olmayan bir alt domainde geçti.
3. SVG geçerli bir Tiny PS değil. En sık görülen dosya sorunu budur.
4. Sertifika, gerekli olduğu yerde yok, süresi dolmuş veya barındırılan logoyla birebir eşleşmiyor.
5. Sertifika dosyası zincirin tamamını içermiyor.
6. Logo veya sertifika adresi yönlendirme yapıyor ya da HTTPS üzerinden sunulmuyor.
7. Gönderen domainin veya IP adresinin o sağlayıcıdaki itibarı zayıf ya da gönderim hacmi düşük. Sağlayıcılar logoyu zaten güvendikleri gönderenler için gösterir.
8. Alıcının e-posta istemcisi BIMI'yi desteklemiyor ya da ileti, sağlayıcının logoyu göstermediği bir posta kutusu türüne gönderildi.

Hangi sağlayıcılar BIMI logolarını gösterir

Destek sağlayıcıya göre değişir ve zaman içinde de değişmiştir. Gmail, Apple Mail, Yahoo Mail ve başka birkaç sağlayıcı BIMI logolarını kendi koşulları altında gösterir. Bazı büyük sağlayıcıların ise kendi ayrı logo programları vardır ve BIMI kullanmazlar. Bu nedenle aynı ileti, sizin tarafınızda hiçbir sorun olmadığı halde bir gelen kutusunda logo, bir diğerinde baş harfler gösterebilir. Her sağlayıcının yayınladığı gereksinimleri asıl kaynak kabul edin ve yenileme öncesinde yeniden kontrol edin.

Çalışır durumda tutma

BIMI, diğer bütün e-posta kayıtlarından daha fazla hareketli parçaya bağlıdır ve her biri geçerliliğini yitirebilir. Marka sertifikasının süresi her yıl dolar. Arkasındaki marka tescilli kalmalıdır. Logo ve sertifika dosyaları aynı adreslerde durmalıdır. Bir web sitesi yenilemesi bunu kolayca bozar. DMARC politikası da uygulama düzeyinde kalmalıdır: bir teslimat sorununu ayıklamak için politikayı p=none düzeyine gevşeten biri, yan etki olarak logoyu da kaldırmış olur.

Marka logosunu değiştirdiğinde, dosya değiştirilmeden önce sertifika yeni marka için yeniden düzenlenmelidir. Aksi halde barındırılan logo artık sertifikayla eşleşmez.

Değer mi

Dürüst yanıt gönderene göre değişir. DMARC uygulamasına ulaşma çalışması her durumda yapılmaya değer. Domaini korur ve e-posta sağlayıcıları bunu giderek daha fazla bekler. Bunun üzerine eklenen logo ise her yıl bir sertifika ücretine, Verified Mark Certificate için ayrıca tescilli bir markaya mal olur. Çok e-posta gönderen bir tüketici markası için gelen kutusunda tanınan bir logo makul bir faydadır. Ağırlıklı olarak kurumsal alıcılara gönderim yapan küçük bir işletme için getirisi o kadar net değildir, çünkü bu alıcıların birçoğu BIMI göstermeyen e-posta sistemleri kullanır.

Sertifikasız bir BIMI kaydı yayınlamanın maliyeti yoktur ve zararsızdır. Sertifika istemeyen sağlayıcılarda logo gösterir, diğerlerinde hiçbir şey göstermez.

Bir domaini kontrol etme

Bir BIMI kontrolünün birkaç ayrı parçası vardır: kayıt var ve ayrıştırılabiliyor, logo adresine HTTPS üzerinden erişilebiliyor, sertifika adresine erişilebiliyor ve DMARC politikası yeterli. CloudSpex BIMI Kayıt Denetleyici kaydı okur ve domainin ne beyan ettiğini raporlar. BIMI Kayıt Üretici ise logo ve sertifika adreslerinizden bir kayıt oluşturur. İkisi de belirli bir e-posta sağlayıcısının logoyu göstermeyi seçip seçmeyeceğini söyleyemez, çünkü bu karar herkese açık olmayan itibara da bağlıdır.