Wat is BIMI (Brand Indicators for Message Identification)?

Definitie

BIMI staat voor Brand Indicators for Message Identification. Het is een specificatie, ontwikkeld via samenwerking in de sector en beschreven in een IETF-draft, die definieert hoe een merk zijn logo naast de verzonden berichten kan laten tonen. Wanneer een ondersteunende inbox een e-mail weergeeft, kan deze in plaats van een algemene placeholder of de initialen van de afzender het werkelijke logo van het merk tonen, net zoals een vertrouwde avatar zou worden getoond.

Het cruciale punt is dat BIMI geen losstaande functie is die je zomaar kunt inschakelen. Het is de zichtbare top van een authenticatiepiramide. De basis is SPF, dat je geautoriseerde verzendservers opsomt. Daarboven zit DKIM, dat je berichten cryptografisch ondertekent. Daarboven zit DMARC, dat authenticatie koppelt aan het zichtbare From-adres en op een handhavingsbeleid moet staan. Alleen wanneer die basis op orde is, voegt BIMI het logo toe. Met andere woorden: BIMI zet onzichtbaar authenticatiewerk om in iets dat een ontvanger daadwerkelijk kan zien.

Bij BIMI hoort doorgaans ook een certificaat dat bevestigt dat een merk het getoonde logo legitiem bezit. Dat voorkomt dat een kwaadwillende het logo van een bekend merk claimt. De twee certificaattypen, het Verified Mark Certificate en het Common Mark Certificate, verschillen in wat ze vereisen, en de keuze daartussen bepaalt hoe toegankelijk BIMI is voor een bepaalde organisatie.

Hoe het werkt

BIMI draait als laatste controle na authenticatie. Wanneer een bericht een ondersteunende mailboxprovider bereikt, beoordeelt de provider eerst DMARC. Omdat BIMI DMARC op een handhavingsbeleid vereist, bevestigt de provider dat het bericht DMARC passeert met een beleid van p=quarantine of p=reject. Een beleid van p=none is uitdrukkelijk niet voldoende voor BIMI, wat een van de belangrijkste praktische feiten is bij het invoeren ervan.

Zodra aan de DMARC-handhaving is voldaan, zoekt de provider het BIMI-record op in de DNS van het verzendende domein. Dat record verwijst naar het logobestand van het merk, dat in een specifiek formaat moet zijn: SVG Tiny Portable Secure, afgekort SVG Tiny PS. De afbeelding moet aan strenge regels voldoen, waaronder een vierkante beeldverhouding van 1:1, een minimumformaat van 96 bij 96 pixels, afmetingen opgegeven in absolute pixels en een bestandsgrootte onder ongeveer 32 kilobyte. Gewone JPEG-, PNG- en standaard-SVG-bestanden worden niet geaccepteerd.

Het record kan ook naar een certificaat verwijzen. Waar een provider er een vereist, zoals Gmail, valideert deze het certificaat voordat het logo wordt getoond. Een Verified Mark Certificate bewijst dat het merk een geregistreerd handelsmerk voor het logo bezit, en de ingediende SVG moet exact overeenkomen met de afbeelding van het merkenbureau, waarbij zelfs kleine afwijkingen tot afwijzing leiden. Een Common Mark Certificate volgt een andere route: het heeft geen handelsmerk nodig, maar in plaats daarvan toont het merk aan dat het logo minstens twaalf maanden publiekelijk op zijn domein is weergegeven. Als alle controles slagen, geeft de inbox het geverifieerde logo naast het bericht weer.

Waarom het belangrijk is voor e-mailbezorgbaarheid

Het loont hier voorzichtig te zijn, want BIMI wordt vaak verkeerd begrepen. BIMI is geen direct rankingsignaal voor bezorgbaarheid. Een BIMI-record publiceren verhoogt op zichzelf je inboxplaatsing niet, en een logo redt geen afzender met een slechte reputatie. BIMI als bezorgbaarheidstrucje behandelen leidt tot teleurstelling.

Waar BIMI echt helpt is indirect, en het effect is reëel. Het belangrijkste voordeel is de discipline die het afdwingt. BIMI kan niet werken zonder DMARC op handhaving, dus elk merk dat BIMI invoert moet zijn DMARC-beleid naar p=quarantine of p=reject verplaatsen. Die stap beschermt het domein wezenlijk tegen exact-domain spoofing, omdat mail die de authenticatie niet doorstaat nu in quarantaine wordt geplaatst of geweigerd in plaats van alleen gemonitord. Sterke DMARC-handhaving is echt goed voor zowel de beveiliging als de gezondheid van een verzendend domein op lange termijn.

Het tweede voordeel is herkenning en vertrouwen. Een geverifieerd logo naast een bericht helpt ontvangers in één oogopslag legitieme mail te herkennen en is voor impersonators lastiger na te maken. Dat kan hogere open- en engagementpercentages ondersteunen, en engagement is een van de signalen die mailboxproviders gebruiken om plaatsing te bepalen. De keten loopt dus van BIMI naar DMARC-handhaving en merkherkenning, vandaar naar engagement en reputatie, en uiteindelijk naar bezorgbaarheid. BIMI is belangrijk, maar het is belangrijk vanwege wat het vereist en wat het signaleert, niet als een knop die je op zichzelf omzet.

Hoe VeriMails hiermee omgaat

VeriMails geeft geen BIMI-certificaten uit en host geen BIMI-logo's; die komen van certificaatautoriteiten en je DNS-configuratie. Wat VeriMails wel doet, is de fundamenten ondersteunen waarvan BIMI afhankelijk is, plus de hygiëne aan de ontvangerskant die een campagne met logo goed laat presteren.

BIMI rust op de SPF-, DKIM- en DMARC-stack, en VeriMails biedt gratis tools voor elke laag: een SPF-generator, een DKIM-generator en een DMARC-generator. Deze helpen je correcte DNS-records te maken, het noodzakelijke voorwerk voordat BIMI überhaupt mogelijk is, aangezien BIMI vereist dat DMARC op een handhavingsbeleid is gepubliceerd. Die authenticatiebasis goed krijgen is de eerste praktische stap richting een BIMI-logo.

De andere helft is je lijst. Een BIMI-logo geeft een campagne een verzorgde, betrouwbare uitstraling, maar die uitstraling wordt ondermijnd als de campagne naar een lijst vol ongeldige adressen wordt gestuurd, omdat de resulterende bounces en klachten de verzendreputatie schaden die bepaalt of je geauthenticeerde mail met logo überhaupt de inbox bereikt. VeriMails verifieert je ontvangerslijst via een volledig meerlaags proces: syntaxvalidatie, MX- en DNS-bevestiging, een live SMTP-handshake met de ontvangende mailserver, en detectie van catch-all-domeinen, wegwerpadressen en rolgebaseerde adressen. Je kunt een lijst als CSV-upload verifiëren of adressen afzonderlijk controleren via de REST API, met duidelijke bezorgbaarheidscategorieën. Nieuwe accounts krijgen bij aanmelding 100 gratis credits zonder dat een creditcard nodig is en met credits die nooit verlopen, met verificatie vanaf 0.0019 dollars per email, oftewel 19 dollars voor 10,000 credits, en jaarabonnementen vanaf $12.50/month bij jaarlijkse facturering. Sterke authenticatie verdient het logo; een schone, geverifieerde lijst zorgt dat de campagne erachter in de inbox landt.

Veelgestelde vragen