W niektórych skrzynkach obok nazwy nadawcy widnieje okrągłe logo firmy zamiast szarego kółka z inicjałem. To BIMI — Brand Indicators for Message Identification. Wygląda na drobiazg z zakresu wyglądu i poniekąd nim jest. Ciekawe jest nie samo logo, tylko łańcuch warunków, który stoi przed nim.
Czym BIMI jest technicznie
Wpisem DNS, niczym więcej. Wskazuje na plik graficzny i opcjonalnie na certyfikat:
default._bimi.firma.pl. TXT "v=BIMI1; l=https://firma.pl/logo.svg; a=https://firma.pl/vmc.pem"Pole l= wskazuje logo, pole a= certyfikat potwierdzający, że wolno Ci go używać. Dostawca odbierający pobiera jedno i drugie i pokazuje obraz — o ile wszystko wcześniej się zgadza. A wcześniej jest tego sporo.
Stopień pierwszy to właściwa przeszkoda
BIMI wymaga egzekwowanej polityki DMARC: p=quarantine albo p=reject, i to dla całego ruchu, czyli pct=100. p=none nie wystarcza, nawet „przejściowo".
Właśnie tu zatrzymuje się większość przedsięwzięć i dlatego BIMI w istocie nie jest projektem graficznym. Kto stoi na p=none, z reguły ma jeszcze w zasobach źródła wysyłki bez dopasowania — usługę newslettera, system zgłoszeń, oprogramowanie do faktur. Skonfigurowanie ich wszystkich to jest praca. Logo zajmuje potem godzinę.
Stopnie drugi i trzeci: logo jest wybredne
Dowolny SVG nie wystarczy. Wymagany jest wąsko zakrojony profil SVG Portable/Secure, oparty na SVG Tiny 1.2. Czego w nim być nie może:
- żadnych skryptów, animacji ani odwołań zewnętrznych,
- żadnych osadzonych obrazów rastrowych,
- element
titlez nazwą marki jest obowiązkowy, viewBoxo kwadratowych proporcjach, bo wyświetlanie wpisuje obraz w koło albo kwadrat.
Ostatni punkt kosztuje w praktyce najwięcej czasu. Logotyp słowny w proporcji 4:1 zamienia się w kole w nieczytelną kreskę. BIMI niemal zawsze wymaga osobno przygotowanej wersji kwadratowej — zwykle samego znaku graficznego bez napisu.
Stopień piąty: certyfikat i jego cena
Żeby Gmail i Apple Mail pokazały logo, wpis DNS nie wystarcza. Wymagany jest Verified Mark Certificate, wystawiony przez jedną z nielicznych dopuszczonych do tego instytucji. Poświadcza on, że znak należy do Ciebie.
Warunkiem jest zarejestrowany znak towarowy w uznanym urzędzie, a logo w certyfikacie musi zgadzać się ze znakiem z rejestru. Kto nie ma praw do znaku, tego stopnia nie przejdzie — a zgłoszenie znaku trwa, zależnie od urzędu, wiele miesięcy.
Koszty to od kilkuset do ponad tysiąca euro rocznie za sam certyfikat, bez rejestracji znaku. Jak na obrazek w skrzynce to dużo. Dla organizacji, która i tak utrzymuje zarejestrowany znak i ma wyegzekwowany DMARC, to niewielka dodatkowa pozycja.
Kto to w ogóle pokazuje
| Dostawca | Certyfikat wymagany |
|---|---|
| Gmail | tak |
| Apple Mail | tak |
| Yahoo | tak |
| Fastmail | nie, wystarczy egzekwowany DMARC |
| Większość programów na komputerze | nie pokazuje go wcale |
Ostatni wiersz porządkuje rachunek. Odbiorca korzystający z Thunderbirda albo Outlooka na komputerze nie zobaczy z całego przedsięwzięcia nic.
Czym BIMI nie jest
Nie jest sygnałem bezpieczeństwa dla czytelnika. Logo znaczy: ta wiadomość przeszła DMARC, a nadawca zapłacił za certyfikat. Nie znaczy, że treść jest nieszkodliwa. Przejęta domena wysyła dalej z ważnym DMARC — a więc dalej z logo.
Punkt drugi, bardziej niewygodny: czytelnicy szybko przyswajają reguły wzrokowe. Kto przyzwyczai się myśleć „logo znaczy prawdziwe", wyuczył sobie cechę, którą napastnik z własną, podobnie brzmiącą domeną i własnym znakiem towarowym również potrafi spełnić. Cechy, po których naprawdę da się rozpoznać podrobioną wiadomość, są inne — i żadna z nich nie jest obrazkiem.
Czy warto?
Jako cel: rzadko. Jako produkt uboczny: jak najbardziej. Kto i tak doprowadza DMARC do egzekwowania — a powinna to zrobić każda domena, spod której wychodzą faktury — dostaje BIMI w cenie certyfikatu na dokładkę. Odwrotnie BIMI jest kosztownym objazdem do wyniku, który da się mieć wprost: domeny, spod której obcy nie wyśle niczego.
Najlepszy argument za BIMI bywa więc wewnętrzny. To pierwszy widoczny efekt przedsięwzięcia, które poza tym składa się wyłącznie z wpisów DNS — a to ułatwia uzyskanie zgody na pracę przy wcześniejszych stopniach.