Quando si apre la casella di posta, accanto ad alcuni mittenti compare il logo dell'azienda invece dell'iniziale colorata. In molti casi dietro quel logo c'è BIMI (Brand Indicators for Message Identification), uno standard che collega l'autenticazione del dominio alla sua identità visiva. Non è un fattore di deliverability in senso stretto, perché non aiuta un messaggio a evitare il filtro antispam. È piuttosto il premio per chi ha già messo in ordine SPF, DKIM e DMARC, e un segnale di riconoscibilità per chi legge.
Come funziona
Il meccanismo è semplice. Il dominio pubblica un record DNS che indica dove si trova il logo. Il provider di posta, quando riceve un messaggio che supera DMARC con una policy restrittiva, legge quel record, scarica il logo e lo mostra accanto al mittente.
Un record BIMI di esempio:
default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/vmc.pem"
defaultè il selettore BIMI. Si possono usare selettori diversi indicandoli in un'intestazione del messaggio, madefaultè quello usato normalmente.l=è l'indirizzo del logo in formato SVG.a=è l'indirizzo del certificato che attesta il diritto a usare il marchio, quando richiesto.
Il prerequisito: DMARC applicato
BIMI non funziona con p=none. Il dominio deve avere una policy DMARC applicata, cioè p=quarantine o p=reject, e la quarantena deve valere per tutti i messaggi, senza un pct= inferiore a 100. Anche la policy dei sottodomini non deve essere none.
La logica è chiara: mostrare un logo accanto a un messaggio che potrebbe essere falsificato sarebbe un regalo ai truffatori. Il logo compare solo se il dominio ha chiesto ai destinatari di respingere o isolare tutto ciò che non è autenticato.
In pratica, per molte aziende BIMI diventa la motivazione concreta per completare finalmente il percorso DMARC che era rimasto fermo a p=none.
Preparare il logo
Il logo non può essere un SVG qualunque. Lo standard richiede il profilo SVG Tiny Portable/Secure (SVG Tiny PS), una versione ridotta del formato che esclude script, riferimenti esterni e animazioni. Le indicazioni principali:
- forma quadrata, con il soggetto centrato, perché molti client ritagliano l'immagine in un cerchio;
- sfondo pieno, non trasparente;
- nessuno script, nessuna immagine raster incorporata, nessun collegamento esterno;
- un elemento
titlecon il nome del marchio; - dimensione del file contenuta.
Gli SVG esportati da programmi di grafica di solito non sono conformi e vanno ripuliti. Esistono strumenti di conversione e validatori pubblici per controllare il risultato prima di pubblicarlo. Il file va servito via HTTPS.
Certificati VMC e CMC
Alcuni provider mostrano il logo solo se accompagnato da un certificato che dimostra il legame tra il dominio e il marchio.
| Certificato | Cosa richiede |
|---|---|
| VMC (Verified Mark Certificate) | un marchio registrato presso un ufficio marchi riconosciuto |
| CMC (Common Mark Certificate) | prova che il logo è in uso da tempo, senza registrazione |
I certificati sono emessi da autorità di certificazione abilitate, dopo una verifica dell'organizzazione e del marchio, e hanno un costo annuale. Il file PEM del certificato contiene anche il logo, che deve coincidere con quello pubblicato.
Con un VMC, alcuni provider aggiungono anche un segno di spunta che indica il mittente verificato. Il supporto per CMC è più limitato rispetto a VMC.
Cosa aspettarsi dai provider
Il supporto a BIMI varia molto. Alcuni grandi servizi di posta lo implementano richiedendo il certificato, altri mostrano il logo anche senza, altri ancora non lo supportano affatto o usano sistemi propri per i loghi dei mittenti. Inoltre i provider possono decidere di non mostrare il logo per mittenti con reputazione bassa o volumi troppo ridotti.
È quindi importante non presentare BIMI come una garanzia. Nel mio lavoro lo propongo solo dopo che DMARC è applicato e stabile: prima di quel momento è uno sforzo nel posto sbagliato.
Una sequenza di lavoro
- Portare DMARC a
p=quarantineal 100% o ap=reject, con report puliti. - Preparare il logo in SVG Tiny PS e validarlo.
- Valutare se serve un VMC o un CMC, in base ai provider più usati dai propri destinatari.
- Pubblicare logo e certificato via HTTPS e il record
default._bimi. - Verificare con un validatore BIMI e con invii di prova verso le caselle principali.
In sintesi
- BIMI mostra il logo del marchio accanto ai messaggi autenticati, ma non migliora il filtro antispam.
- Richiede DMARC applicato, con quarantena al 100% o reject, anche sui sottodomini.
- Il logo deve essere un SVG Tiny PS quadrato, con sfondo pieno e senza elementi esterni.
- Alcuni provider richiedono un certificato VMC, basato su un marchio registrato, o un CMC.
- Il supporto varia tra provider: BIMI va trattato come un completamento, non come una priorità.
