Korzyści z wdrożenia BIMI ochrona przed spoofingiem i phishingiem

BIMI (ang. Brand Indicators for Message Identification) to standard identyfikacji wizualnej, który umożliwia wyświetlanie zweryfikowanego logo nadawcy w tych wiadomościach mailowych, które przeszły poprawną walidację uwierzytelnienia DMARC.

Warto przy tym podkreślić, że BIMI samo w sobie nie jest standardem bezpieczeństwa. Jest to standard wizualny, który aby działał, wymaga wdrożenia silnych mechanizmów uwierzytelniania (SPF, DKIM oraz restrykcyjnej polityki DMARC), co pośrednio podnosi poziom bezpieczeństwa domeny.

BIMI zwiększa widoczność wiadomości pochodzących od danej marki w skrzynkach mailowych tych providerów, którzy obecnie uczestniczą w programie. Pierwsze badania wskazują na wzrost ilości otwarć (OR) i współczynnika konwersji. Możliwość wyświetlania logo zachęca nadawców do przyjęcia silniejszej polityki DMARC w zakresie uwierzytelnienia poczty elektronicznej.

Proces działania BIMI wygląda następująco:

• Właściciel domeny (marka) publikuje w swojej strefie DNS specjalny rekord BIMI, który wskazuje na plik z logo (oraz opcjonalnie na certyfikat VMC/CMC).
• Gdy dostawca skrzynki (np. Gmail) otrzymuje e-mail, najpierw go uwierzytelnia (sprawdza zgodność z SPF, DKIM i DMARC).
• Jeśli e-mail przejdzie uwierzytelnienie, dostawca odpytuje DNS o rekord BIMI dla domeny nadawcy.
• Jeśli rekord istnieje i jest poprawny, dostawca może pobrać logo i wyświetlić je w skrzynce odbiorczej obok wiadomości.

• Uwierzytelnienie wiadomości za pomocą SPF i DKIM
• Zabezpieczenie domeny za pomocą restrykcyjnego DMARC (polityka quarantine lub reject)
• Stworzenie logo w formacie SVG Tiny PS
• Jeśli jest to wymagane (np. w przypadku Gmail), uzyskanie VMC (Verified Mark Certificate) lub CMC (Common Mark Certificate)
• Opublikowanie rekordu BIMI w DNS domeny

Rekord BIMI to rekord TXT, który posiada trzy atrybuty:

• v=BIMI1 – deklaracja, że jest to rekord BIMI.
• l= – lokalizacja (URL) pliku z logo SVG.
• a= – lokalizacja (URL) certyfikatu VMC lub CMC (jest to atrybut opcjonalny dla dostawców, którzy go nie wymagają, ale niezbędny np. dla Gmail).

Przykład pełnego rekordu (z certyfikatem VMC):

default._bimi.twojadomena.pl IN TXT “v=BIMI1; l=https://sciezka/do/logo.svg; a=https://sciezka/do/certyfikat.pem”

• Apple Mail
• Onet
• Verizon Media Group (Yahoo, AOL etc.)
• Gmail
• Fastmail
• Zone

Bieżąca lista providerów wspierających BIMI jest dostępna na stronie AuthIndicators Working Group.

To zależy od klienta pocztowego. Najczęściej logo BIMI pojawia się bezpośrednio obok adresu nadawcy w widoku otwartej wiadomości. Coraz częściej, np. w Gmail czy Apple Mail, logo jest również widoczne na głównej liście wiadomości (w widoku skrzynki), jeszcze przed otwarciem e-maila, co znacząco zwiększa widoczność marki.

SPF (ang. Sender Policy Framework) jest zabezpieczeniem używanym do uwierzytelniania nadawcy wiadomości e-mail. Dzięki niemu providerzy mogą zweryfikować, czy serwer pocztowy jest upoważniony do wysyłania wiadomości e-mail w imieniu danej domeny.

Więcej informacji, znajduje się w artykule na naszym artykule : “Jak skonfigurować rekord SPF.”

DKIM (ang. DomainKeys Identified Mail) to cyfrowy klucz używany do sprawdzania, czy wiadomości e-mail są autentyczne i nie padły próbie phishingu podczas przesyłania.

Dowiedz się jak zautoryzować domenę kluczem DKIM dzięki temu artykułowi na naszym blogu.

DMARC (ang. Domain-based Message Authentication, Reporting and Conformance) jest metodą uwierzytelniania e-mail opierającą się na SPF i DKIM. Sprawdza on powyższe protokoły i wskazuje dostawcom skrzynek pocztowych jakie działania mają podjąć wobec wiadomości, które nie przejdą uwierzytelnienia, dając właścicielom domen kontrolę nad ich wykorzystywaniem i zapobieganiu spoofingu.

Po co komu DMARC i jako go włączyć?

Wdrożenie BIMI wymaga restrykcyjnej polityki DMARC (tzw. enforcement). Oznacza to, że polityka dla domeny musi być ustawiona na:

• p=reject (odrzucanie)
• lub p=quarantine (kwarantanna)

Co kluczowe, w przypadku wybrania polityki p=quarantine, tag procentowy (pct) musi być jawnie ustawiony na pct=100. Polityka ta musi dotyczyć domeny organizacyjnej i nie może być osłabiona przez tagi sp=none (który ustawiałby inną politykę dla subdomen).

Nasza platforma jest w pełni gotowa i kompatybilna z wysyłką wiadomości w standardzie BIMI. Oznacza to, że jeśli Twoja domena jest poprawnie skonfigurowana, Twoje logo będzie się wyświetlać.

Warto zaznaczyć, że choć EmailLabs obecnie nie oferuje aktywnego wsparcia w całościowym procesie implementacji BIMI (który obejmuje m.in. zakup certyfikatu VMC/CMC czy finalną konfigurację DMARC), to ułatwiamy start dzięki naszej funkcji Autoryzacja nadawców. Narzędzie to pomaga w wygenerowaniu odpowiednich wpisów (SPF, DKIM) niezbędnych do poprawnego uwierzytelnienia wysyłki z naszej platformy.

Niemniej, cały proces konfiguracji – w tym samodzielne umieszczenie wygenerowanych wpisów w strefie DNS, ustawienie polityki DMARC, wygenerowanie logo SVG, zakup certyfikatu VMC/CMC i publikacja rekordu BIMI – leży w całości po stronie właściciela domeny.

Rekord BIMI (jako rekord TXT) należy domyślnie opublikować w strefie DNS domeny organizacyjnej (np. twojadomena.pl), w lokalizacji domyślnego selektora, czyli default._bimi.twojadomena.pl.

Zgodnie ze specyfikacją standardu, rekord ten jest dziedziczony przez wszystkie subdomeny, które nie mają własnego, opublikowanego rekordu BIMI.

Administrator ma jednak możliwość opublikowania osobnego rekordu BIMI dla konkretnej subdomeny (np. default._bimi.newsletter.twojadomena.pl). Jeśli taki rekord istnieje, będzie on używany priorytetowo (nadpisze rekord z domeny głównej) i może wskazywać np. na inne logo.

To zależy od rodzaju certyfikatu, który chcesz uzyskać.

• TAK, jeśli ubiegasz się o certyfikat VMC (Verified Mark Certificate). Ten certyfikat, który jest wymagany m.in. przez Gmail do wyświetlania logo wraz z niebieskim znacznikiem weryfikacji, bezwzględnie wymaga, aby logo było zarejestrowanym znakiem towarowym. Należy je wcześniej zastrzec w odpowiednim urzędzie patentowym, np. Urzędzie Unii Europejskiej ds. Własności Intelektualnej (EUIPO) lub Amerykańskim Urzędzie Patentów i Znaków Towarowych (USPTO).
• NIE, jeśli zdecydujesz się na certyfikat CMC (Common Mark Certificate). Jest to nowsza, alternatywna ścieżka. Certyfikat CMC nie wymaga posiadania zarejestrowanego znaku towarowego, co czyni go bardziej dostępnym dla mniejszych firm. Pozwala on na wyświetlenie samego logo w skrzynce odbiorcy, jednak bez dodatkowego niebieskiego znacznika weryfikacji.

Tak, dopuszczalna jest grafika uwzględniająca wyłącznie wersję tekstową (nazwę marki / instytucji) bez symbolu (logo) czy znaków graficznych.

Logo BIMI powinno być:

• na jednolitym tle – zalecane są tła nieprzezroczyste,
• wyśrodkowane, w proporcji 1:1 – aby było optymalnie wyświetlane w kwadracie, zaokrąglonym kwadracie lub okręgu, 

Logo BIMI nie może być animowane ani interaktywne.

Logo, do którego odwołuje się rekord BIMI, musi być w określonym formacie, opartym na SVG (Scalable Vector Graphic) Tiny 1.2, ale z mniejszą liczbą dozwolonych elementów. Wersja obsługiwana przez BIMI została określona jako SVG Tiny Portable/Secure (SVG P/S).

Oznacza to, że plik nie może zawierać m.in.:

• żadnych tagów <script>,
• linków zewnętrznych,
• ani odwołań do innych plików (musi być samowystarczalny).

Szczegółowe wytyczne dotyczące jego przygotowania dostępne są na stronie AuthIndicators Working Group.

Logo należy zamieścić na dowolnej publicznej domenie (nie musi być to ta sama domena która podlega wdrożeniu tego standardu). W przygotowanym rekordzie BIMI do jego lokalizacji (adresu URL) odnosi się tag „l=”.

Ważne: Serwer, na którym hostowany jest plik SVG (oraz certyfikat .PEM), musi być publicznie dostępny przez HTTPS. Jeśli serwer posiada zabezpieczenia przed botami (np. typu CAPTCHA), automatyczne systemy dostawców poczty nie będą w stanie pobrać pliku, co uniemożliwi wyświetlenie logo.

To zależy od konfiguracji. Wcześniej było to niemożliwe, jednak standard BIMI wprowadził nowy tag avp (Avatar Preference), który daje markom kontrolę nad tym, co ma być wyświetlane.

• avp=brand: Ta wartość wymusza wyświetlanie logo marki, nawet jeśli użytkownik (np. Jan Kowalski) ma ustawione własne zdjęcie profilowe.
• avp=personal: Ta wartość daje priorytet osobistemu zdjęciu profilowemu (awatarowi) pracownika. Logo marki BIMI jest używane tylko jako zastępcze, jeśli pracownik nie ma zdjęcia.

Daje to firmom strategiczną kontrolę nad tym, czy komunikacja ma budować markę korporacyjną (logo), czy osobistą relację (zdjęcie pracownika).

Warto jednak dodać, że w praktyce logo BIMI rzadziej pojawia się przy adresach „osobistych”. Dzieje się tak, ponieważ głównym celem BIMI jest budowanie zaufania w komunikacji masowej lub firmowej (newslettery, powiadomienia, faktury, mailingi marketingowe). Nie jest to jednak formalne ograniczenie technologiczne.

Nie, ostateczna decyzja o wyświetleniu logo należy do dostawcy skrzynki i zależy od reputacji nadawcy, ustawień użytkownika i innych czynników.

Jest to certyfikat cyfrowy, który uwierzytelnia własność logo marki oraz potwierdza weryfikację domeny. Gwarantuje, że tylko zweryfikowane logo (powiązane z zarejestrowanym znakiem towarowym) pojawia się w uwierzytelnionych wiadomościach e-mail, co zapobiega nadużyciom i zwiększa wiarygodność komunikacji.

CMC (Common Mark Certificate) to nowszy, uproszczony typ certyfikatu wprowadzony przez BIMIGroup. Został zaprojektowany, aby ułatwić i obniżyć koszty wdrożenia BIMI, czyniąc standard bardziej dostępnym dla organizacji (szczególnie mniejszych), które nie posiadają zarejestrowanego znaku towarowego.

Kluczowe różnice:

• VMC (Verified Mark Certificate) to bardziej rygorystyczny certyfikat. Wymaga szczegółowej walidacji, w tym weryfikacji zarejestrowanego znaku towarowego. Jego uzyskanie jest zazwyczaj bardziej złożone i kosztowne.
• CMC (Common Mark Certificate) to uproszczona alternatywa. Usprawnia proces walidacji, nie wymaga znaku towarowego, co obniża koszty i złożoność implementacji.

Oba certyfikaty zapewniają autentyczność logo w wiadomościach e-mail. Główna różnica dla odbiorcy jest taka, że VMC pozwala na wyświetlenie niebieskiego znacznika weryfikacji (np. w Gmail), podczas gdy CMC wyświetla tylko samo logo.

Nie zawsze. Dostawcy poczty (jak Gmail) wymagają certyfikatu (VMC lub CMC), aby w ogóle wyświetlić logo.

• Jeśli chcesz wyświetlać logo wraz z niebieskim znacznikiem weryfikacji (co buduje największe zaufanie), certyfikat VMC jest niezbędny.
• Jeśli chcesz tylko wyświetlać logo (bez niebieskiego znacznika) i nie masz zarejestrowanego znaku towarowego, wystarczy certyfikat CMC.

• Posiadać logo będące zarejestrowanym znakiem
• DMARC ustawiony w polityce quarantine na 100% lub reject

• weryfikacja organizacji oraz domeny: sprawdzenie praw do używania domeny
• bezpośrednia rozmowa reprezentanta firmy z przedstawicielem organizacji certyfikującej np. DigiCert
• sprawdzenie poprawności uwierzytelnienia DMARC
• potwierdzenie certyfikacji u notariusza
• przekazanie certyfikatu w formacie .PEM w celu jego opublikowania w rekordzie BIMI

Certyfikaty VMC oraz CMC są wydawane przez tzw. Mark Verifying Authorities (MVAs), czyli wyspecjalizowane Urzędy Certyfikacji (CAs). Decyzja o akceptacji certyfikatu od danego MVA należy do indywidualnego dostawcy poczty (np. Gmail, Yahoo).

Według oficjalnej listy BIMIGroup, do MVA wydających certyfikaty VMC należą obecnie:

• DigiCert
• GlobalSign
• SSL.com

Certyfikaty CMC są nowością – obecnie oferuje je DigiCert, a lista ta prawdopodobnie będzie się poszerzać.

Koszt certyfikatu VMC waha się obecnie w granicach od ok. 7 000 do 13 000 zł netto rocznie. Stawka ta jest zależna od wybranej jednostki certyfikującej (Certificate Authority) i standardowo dotyczy jednej domeny oraz jednej wersji logo.

Wdrożenie certyfikatu BIMI to ok. 6-7 tygodni.

Ważność certyfikatu VMC (oraz CMC) wynosi zazwyczaj rok, po tym czasie należy go odnowić.

Po zatwierdzeniu Twojego VMC przez urząd certyfikujący otrzymasz plik w formacie .PEM (ang. Privacy Enhanced Mail). Plik należy przesłać na swój publiczny serwer. Adres URL (ścieżkę do pliku) należy umieścić w rekordzie TXT BIMI.

Zgodnie z informacjami zamieszczonymi na stronie Yahoo Sender Hub logo BIMI wyświetli się na skrzynce jeśli zostaną spełnione poniższe warunki :

• W DNS zamieszczony został rekord BIMI, który wskazuje na lokalizację logo w poprawnym formacie SVG
• DMARC ma politykę quarantine lub reject
• Mailing jest wysyłany do dużej liczby odbiorców (bulk). Logo nie będzie wyświetlane w korespondencji osobistej
• Verizon Media odnotowuje wystarczająco dobrą reputacją oraz zaangażowanie ze strony odbiorców

Istnieje kilka alternatywnych sposobów na wyświetlania znaku graficznego: rodzimy Boost od Interii, logo w Google Workspace (dawniej G Suite), Avatar w narzędziu Postmaster Mail.ru, Bing dla Microsoft. Należy jednak pamiętać, że tak wgrane logo może być niepotwierdzone i nie świadczy o prawidłowym zabezpieczeniu domeny przy pomocy DMARC.