Che cos'è il BIMI (Brand Indicators for Message Identification)?

Definizione

BIMI sta per Brand Indicators for Message Identification. È una specifica, sviluppata attraverso la collaborazione del settore e descritta in una bozza IETF, che definisce come un brand possa far mostrare il proprio logo accanto ai messaggi che invia. Quando una casella di posta compatibile visualizza un'email, invece di un segnaposto generico o delle iniziali del mittente può mostrare il vero logo del brand, allo stesso modo in cui mostrerebbe un avatar familiare.

Il punto cruciale è che il BIMI non è una funzione a sé stante che puoi semplicemente attivare. È la punta visibile di una piramide di autenticazione. La base è SPF, che elenca i tuoi server di invio autorizzati. Sopra si trova DKIM, che firma crittograficamente i tuoi messaggi. Più in alto c'è DMARC, che collega l'autenticazione all'indirizzo From visibile e deve essere impostato su una policy di enforcement. Solo quando queste fondamenta sono in posizione il BIMI aggiunge il logo. In altre parole, il BIMI converte il lavoro di autenticazione invisibile in qualcosa che un destinatario può effettivamente vedere.

Il BIMI prevede di norma anche un certificato che conferma che un brand possiede legittimamente il logo che sta mostrando. Questo impedisce a un malintenzionato di rivendicare il logo di un brand noto. I due tipi di certificato, il Verified Mark Certificate e il Common Mark Certificate, differiscono per ciò che richiedono, e la scelta tra i due determina quanto il BIMI sia accessibile per una data organizzazione.

Come funziona

Il BIMI funziona come controllo finale dopo l'autenticazione. Quando un messaggio raggiunge un provider di caselle di posta compatibile, il provider valuta innanzitutto DMARC. Poiché il BIMI richiede una policy DMARC di enforcement, il provider conferma che il messaggio supera DMARC con una policy p=quarantine o p=reject. Una policy p=none non è esplicitamente sufficiente per il BIMI, ed è uno degli aspetti pratici più importanti da considerare quando lo si adotta.

Una volta soddisfatto l'enforcement di DMARC, il provider cerca il record BIMI nel DNS del dominio di invio. Quel record punta al file del logo del brand, che deve essere in un formato specifico: SVG Tiny Portable Secure, abbreviato in SVG Tiny PS. L'immagine deve rispettare regole rigorose, tra cui un rapporto d'aspetto quadrato 1:1, una dimensione minima di 96 per 96 pixel, dimensioni specificate in pixel assoluti e un peso del file inferiore a circa 32 kilobyte. I normali file JPEG, PNG e SVG standard non sono accettati.

Il record può anche fare riferimento a un certificato. Quando un provider lo richiede, come nel caso di Gmail, valida il certificato prima di mostrare il logo. Un Verified Mark Certificate dimostra che il brand possiede un marchio registrato per il logo, e l'SVG inviato deve corrispondere esattamente all'immagine depositata presso l'ufficio marchi, dove anche piccole variazioni causano il rifiuto. Un Common Mark Certificate segue una strada diversa: non richiede un marchio e, al suo posto, il brand dimostra che il logo è stato mostrato pubblicamente sul proprio dominio per almeno dodici mesi. Se tutti i controlli vanno a buon fine, la casella di posta mostra il logo verificato accanto al messaggio.

Perché è importante per la deliverability delle email

Vale la pena fare attenzione qui, perché il BIMI viene spesso frainteso. Il BIMI non è un segnale diretto di posizionamento per la deliverability. Pubblicare un record BIMI non migliora di per sé il tuo inbox placement, e un logo non salverà un mittente con una reputazione scarsa. Considerare il BIMI come una scorciatoia per la deliverability porta solo a delusioni.

Il punto in cui il BIMI aiuta davvero è indiretto, e l'effetto è reale. Il vantaggio principale è la disciplina che impone. Il BIMI non può funzionare senza DMARC in enforcement, quindi qualsiasi brand che adotti il BIMI deve portare la propria policy DMARC a p=quarantine o p=reject. Questo passaggio protegge in modo concreto il dominio dallo spoofing del dominio esatto, perché la posta che non supera l'autenticazione viene ora messa in quarantena o rifiutata anziché soltanto monitorata. Un solido enforcement di DMARC fa davvero bene sia alla sicurezza sia alla salute a lungo termine di un dominio di invio.

Il secondo vantaggio è il riconoscimento e la fiducia. Un logo verificato accanto a un messaggio aiuta i destinatari a identificare a colpo d'occhio la posta legittima ed è più difficile da falsificare per chi tenta di impersonare un brand. Questo può favorire tassi di apertura e di engagement più elevati, e l'engagement è uno dei segnali che i provider di posta usano per decidere il posizionamento. Quindi la catena parte dal BIMI per arrivare all'enforcement di DMARC e al riconoscimento del brand, poi da questi all'engagement e alla reputazione, e infine alla deliverability. Il BIMI conta, ma conta per ciò che richiede e per ciò che segnala, non come una leva da azionare da sola.

Come la gestisce VeriMails

VeriMails non emette certificati BIMI e non ospita loghi BIMI; questi provengono dalle autorità di certificazione e dalla tua configurazione DNS. Ciò che VeriMails fa è sostenere le fondamenta da cui dipende il BIMI e l'igiene sul lato destinatario che mantiene performante una campagna con logo.

Il BIMI poggia sullo stack composto da SPF, DKIM e DMARC, e VeriMails offre strumenti gratuiti per ogni livello: un generatore SPF, un generatore DKIM e un generatore DMARC. Ti aiutano a creare record DNS corretti, il lavoro preliminare necessario prima che il BIMI sia anche solo possibile, dato che il BIMI richiede una policy DMARC pubblicata in enforcement. Impostare correttamente queste fondamenta di autenticazione è il primo passo pratico verso un logo BIMI.

L'altra metà è la tua lista. Un logo BIMI dà a una campagna un aspetto curato e affidabile, ma quell'aspetto viene compromesso se la campagna viene inviata a una lista piena di indirizzi non validi, perché i bounce e le segnalazioni che ne derivano danneggiano la reputazione del mittente, quella che decide se la tua posta autenticata e con logo arriva davvero nella casella di posta. VeriMails verifica la tua lista di destinatari attraverso un processo completo a più livelli: validazione della sintassi, conferma di MX e DNS, un handshake SMTP in tempo reale con il server di posta ricevente e il rilevamento di domini catch-all, indirizzi temporanei e indirizzi basati su ruoli. Puoi verificare una lista caricando un CSV oppure controllare gli indirizzi singolarmente tramite la REST API, con categorie di deliverability chiare. I nuovi account ricevono 100 crediti gratuiti alla registrazione senza carta di credito richiesta e con crediti che non scadono mai, con verifica a partire da 0.0019 dollars per email, cioè 19 dollars per 10,000 crediti, e piani annuali a partire da $12.50/month con fatturazione annuale. Una solida autenticazione fa guadagnare il logo; una lista pulita e verificata fa sì che la campagna che vi sta dietro arrivi nella casella di posta.

Domande frequenti