Qu'est-ce que le BIMI (Brand Indicators for Message Identification) ?

Définition

BIMI signifie Brand Indicators for Message Identification. C'est une spécification, élaborée dans le cadre d'une collaboration industrielle et décrite dans un brouillon IETF, qui définit comment une marque peut faire afficher son logo à côté des messages qu'elle envoie. Lorsqu'une messagerie compatible affiche un e-mail, au lieu d'un espace réservé générique ou des initiales de l'expéditeur, elle peut montrer le véritable logo de la marque, de la même façon qu'elle afficherait un avatar familier.

Le point crucial est que le BIMI n'est pas une fonctionnalité autonome que l'on peut simplement activer. C'est le sommet visible d'une pyramide d'authentification. La base est SPF, qui liste vos serveurs d'envoi autorisés. Au-dessus se trouve DKIM, qui signe cryptographiquement vos messages. Plus haut se trouve DMARC, qui rattache l'authentification à l'adresse From visible et doit être réglé sur une politique d'application. Ce n'est qu'une fois ce socle en place que le BIMI ajoute le logo. Autrement dit, le BIMI transforme un travail d'authentification invisible en quelque chose qu'un destinataire peut réellement voir.

Le BIMI implique aussi généralement un certificat qui confirme qu'une marque possède légitimement le logo qu'elle affiche. Cela empêche un acteur malveillant de revendiquer le logo d'une marque connue. Les deux types de certificats, le Verified Mark Certificate et le Common Mark Certificate, diffèrent par leurs exigences, et le choix entre les deux détermine à quel point le BIMI est accessible pour une organisation donnée.

Comment ça fonctionne

Le BIMI s'exécute comme un contrôle final après l'authentification. Lorsqu'un message atteint un fournisseur de messagerie compatible, celui-ci évalue d'abord DMARC. Comme le BIMI exige DMARC avec une politique d'application, le fournisseur confirme que le message passe DMARC avec une politique p=quarantine ou p=reject. Une politique p=none ne suffit explicitement pas pour le BIMI, ce qui est l'un des faits pratiques les plus importants à connaître avant de l'adopter.

Une fois l'application de DMARC satisfaite, le fournisseur recherche l'enregistrement BIMI dans le DNS du domaine d'envoi. Cet enregistrement pointe vers le fichier de logo de la marque, qui doit être dans un format spécifique : SVG Tiny Portable Secure, abrégé SVG Tiny PS. L'image doit respecter des règles strictes, notamment un rapport d'aspect carré 1:1, une taille minimale de 96 par 96 pixels, des dimensions spécifiées en pixels absolus et un poids de fichier inférieur à environ 32 kilo-octets. Les fichiers JPEG, PNG et SVG standard ordinaires ne sont pas acceptés.

L'enregistrement peut aussi référencer un certificat. Lorsqu'un fournisseur en exige un, comme Gmail, il valide le certificat avant d'afficher le logo. Un Verified Mark Certificate prouve que la marque possède une marque déposée pour le logo, et le SVG soumis doit correspondre exactement à l'image de l'office des marques, la moindre variation entraînant un rejet. Un Common Mark Certificate emprunte une autre voie : il n'exige pas de marque déposée ; à la place, la marque démontre que le logo a été affiché publiquement sur son domaine pendant au moins douze mois. Si tous les contrôles passent, la messagerie affiche le logo vérifié à côté du message.

Pourquoi c'est important pour la délivrabilité des e-mails

Il convient d'être prudent ici, car le BIMI est souvent mal compris. Le BIMI n'est pas un signal de classement direct pour la délivrabilité. Publier un enregistrement BIMI n'améliore pas en soi votre placement en boîte de réception, et un logo ne sauvera pas un expéditeur dont la réputation est mauvaise. Considérer le BIMI comme un raccourci vers la délivrabilité mène à la déception.

Là où le BIMI aide réellement, c'est de façon indirecte, et l'effet est bien réel. Le principal bénéfice est la discipline qu'il impose. Le BIMI ne peut pas fonctionner sans DMARC en mode application, donc toute marque qui adopte le BIMI doit faire passer sa politique DMARC à p=quarantine ou p=reject. Cette étape protège véritablement le domaine contre l'usurpation de domaine exact, car le courrier qui échoue à l'authentification est désormais mis en quarantaine ou rejeté plutôt que simplement surveillé. Une application stricte de DMARC est réellement bénéfique pour la sécurité comme pour la santé à long terme d'un domaine d'envoi.

Le deuxième bénéfice est la reconnaissance et la confiance. Un logo vérifié à côté d'un message aide les destinataires à identifier le courrier légitime en un coup d'œil et est plus difficile à imiter pour les usurpateurs. Cela peut soutenir des taux d'ouverture et d'engagement plus élevés, et l'engagement est l'un des signaux que les fournisseurs de messagerie utilisent pour décider du placement. La chaîne va donc du BIMI à l'application de DMARC et à la reconnaissance de la marque, puis de celles-ci à l'engagement et à la réputation, et enfin à la délivrabilité. Le BIMI compte, mais il compte pour ce qu'il exige et ce qu'il signale, pas comme un levier que l'on actionne seul.

Comment VeriMails gère cela

VeriMails n'émet pas de certificats BIMI et n'héberge pas de logos BIMI ; ceux-ci proviennent d'autorités de certification et de votre configuration DNS. Ce que fait VeriMails, c'est soutenir les fondations dont dépend le BIMI et l'hygiène côté destinataires qui maintient la performance d'une campagne arborant un logo.

Le BIMI repose sur la stack SPF, DKIM et DMARC, et VeriMails propose des outils gratuits pour chaque couche : un générateur SPF, un générateur DKIM et un générateur DMARC. Ils vous aident à créer des enregistrements DNS corrects, ce qui constitue le travail préparatoire indispensable avant même que le BIMI ne soit possible, puisque le BIMI exige DMARC publié avec une politique d'application. Bien poser cette fondation d'authentification est la première étape concrète vers un logo BIMI.

L'autre moitié, c'est votre liste. Un logo BIMI donne à une campagne une apparence soignée et digne de confiance, mais cette apparence est ruinée si la campagne est envoyée à une liste pleine d'adresses invalides, car les rebonds et les plaintes qui en résultent dégradent la réputation d'expéditeur qui décide si votre courrier authentifié et arborant un logo atteint la boîte de réception. VeriMails vérifie votre liste de destinataires via un processus complet à plusieurs couches : validation de la syntaxe, confirmation MX et DNS, échange SMTP en direct avec le serveur de réception, et détection des domaines catch-all, des adresses jetables et des adresses génériques (basées sur un rôle). Vous pouvez vérifier une liste par import CSV ou contrôler les adresses individuellement via l'API REST, avec des catégories de délivrabilité claires. Les nouveaux comptes reçoivent 100 crédits gratuits à l'inscription, sans carte bancaire requise et avec des crédits qui n'expirent jamais, la vérification démarrant à 0.0019 dollars par e-mail, soit 19 dollars pour 10 000 crédits, et des forfaits annuels à partir de $12.50/month en facturation annuelle. Une authentification solide vous fait gagner le logo ; une liste propre et vérifiée fait en sorte que la campagne qu'il accompagne atterrisse bien en boîte de réception.

Questions fréquentes