BIMI Nedir? E-postalarda Marka Logosu Gösterme Rehberi

BIMI nedir sorusunun yanıtı, gelen kutusunda gönderen adının yanında beliren marka logosunun arkasındaki standarttır. BIMI (Brand Indicators for Message Identification), kimliği DMARC ile doğrulanmış e-postaların yanında markanın logosunun gösterilmesini sağlar; alan adı sahibi logonun adresini default._bimi TXT kaydıyla yayımlar. Logonun görünmesi için alan adınızda quarantine veya reject düzeyinde uygulanan bir DMARC politikası bulunmalıdır.

BIMI bir güvenlik mekanizmasından çok, güçlü kimlik doğrulamanın görünür bir ödülüdür. Logonun görünmesi için önce alan adınızın taklit edilmesini zorlaştıran temel kayıtları eksiksiz kurmuş olmanız gerekir. Standart, IETF'de taslak (Internet-Draft) aşamasında olup BIMI Group tarafından geliştirilmektedir.

BIMI nasıl çalışır?

1. Alıcı sunucu iletiyi SPF, DKIM ve DMARC ile doğrular.
2. DMARC'tan geçen iletinin alan adında politikanın quarantine veya reject olduğunu kontrol eder.
3. default._bimi.example.com.tr adındaki TXT kaydını sorgular. İletide BIMI-Selector başlığı varsa varsayılan yerine o başlıktaki selector kullanılır.
4. Kayıttaki adreslerden SVG logoyu ve varsa doğrulama sertifikasını indirir.
5. Sertifika logoyu ve alan adını doğruluyorsa, kendi itibar kriterlerini de dikkate alarak logoyu gösterir.

Bu akışta logonun gösterilip gösterilmeyeceğine her zaman alıcı sağlayıcı karar verir. BIMI kaydı alıcıyı bağlayan bir talimat değil, alan adı sahibinin tercih ettiği logoyu bildiren bir beyandır.

BIMI için ön koşullar nelerdir?

• Yaptırımlı DMARC: Politika p=quarantine veya p=reject olmalı; quarantine kullanılıyorsa eski pct etiketi 100'ün altında olmamalı.
• Alt alan adı politikası: sp etiketi kullanılıyorsa değeri none olmamalı.
• Hizalı kimlik doğrulama: İletiler SPF veya DKIM ile From alan adına hizalı geçmeli; DKIM'in her zaman hizalı olması tavsiye edilir.
• SVG Tiny PS logo: Logo bu özel profile uygun bir SVG dosyası olmalı ve HTTPS ile sunulmalı.
• Sertifika: Gmail ve Apple Mail gibi sağlayıcılar logoyu doğrulayan bir sertifika ister.
• İyi gönderim itibarı: Sağlayıcılar, şikâyet oranı yüksek göndericilere logo göstermeyebilir.

DMARC politikanız BIMI'ye hazır mı?

BIMI'ye uygun bir DMARC kaydı şöyle görünür:

_dmarc.example.com.tr.  3600  IN  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

p=none politikasındaki bir alan adı için BIMI kaydı yayımlamak işe yaramaz; sağlayıcılar logoyu göstermez. Politikanızı güvenle sıkılaştırmak için önce DMARC raporlarını inceleyip tüm meşru gönderim kaynaklarınızın hizalı geçtiğinden emin olun. Mevcut DMARC kaydınızı ücretsiz güvenlik kontrolü ile hemen görebilirsiniz.

SVG Tiny PS logo nasıl hazırlanır?

Standart SVG dosyaları BIMI için kabul edilmez; logo, SVG Tiny Portable/Secure (SVG Tiny PS) profiline dönüştürülmelidir. Temel kurallar şunlardır:

• Kök öğede version="1.2" ve baseProfile="tiny-ps" öznitelikleri bulunmalı.
• Dosya bir title öğesi içermeli; bu öğede genellikle marka adı yer alır.
• Betik, animasyon, dış bağlantı ve gömülü bitmap görüntü bulunmamalı.
• Logo kare (1:1) oranında olmalı ve dairesel kırpmaya uygun biçimde ortalanmalı.
• Düz bir arka plan rengi kullanılmalı; şeffaf arka plan farklı temalarda okunaksız görünebilir.
• Dosya HTTPS üzerinden erişilebilir olmalı ve mümkün olduğunca küçük tutulmalı.

Tasarım programlarının çoğu doğrudan SVG Tiny PS çıktısı vermez. Dönüştürmenin ardından dosyayı bir BIMI doğrulama aracıyla kontrol etmek, sonradan yaşanacak sorunları önler.

Logonun küçük boyutta da tanınabilir olması önemlidir. Gelen kutusundaki profil alanı oldukça küçüktür; ince yazılar ve ayrıntılı çizimler yerine sade bir amblem ya da harf işareti tercih etmek daha iyi sonuç verir.

BIMI DNS kaydı nasıl oluşturulur?

default._bimi.example.com.tr.  3600  IN  TXT  "v=BIMI1; l=https://example.com.tr/bimi/logo.svg; a=https://example.com.tr/bimi/vmc.pem"

• v=BIMI1: Kaydın sürümü.
• l=: SVG logonun HTTPS adresi.
• a=: VMC veya CMC sertifikasının PEM dosyasının HTTPS adresi. Sertifikanız yoksa bu alan boş bırakılabilir, ancak bu durumda sertifika isteyen sağlayıcılar logoyu göstermez.

Farklı markalar veya kampanyalar için farklı logolar kullanmak istiyorsanız default yerine başka selector adlarıyla ek kayıtlar yayımlayıp iletilere ilgili BIMI-Selector başlığını ekleyebilirsiniz. Bu başlığın, DMARC ile hizalı DKIM imzasının kapsadığı başlıklar arasında yer alması önerilir.

VMC ve CMC sertifikası arasındaki fark nedir?

Her iki sertifika da kurumun ve alan adının kimliğini doğrulayan yetkili sertifika sağlayıcılarından alınır. Marka tescil süreciniz tamamlanmadıysa CMC, logonuzu Gmail'de göstermeye başlamak için daha hızlı bir yol olabilir.

VMC, logoyu RFC 3709 ile tanımlanan logotype uzantısı aracılığıyla sertifikanın içinde taşır. Bu nedenle l= adresindeki SVG dosyası ile sertifikadaki logonun birebir aynı olması gerekir; logoyu değiştirdiğinizde sertifikayı da yenilemeniz gerekebilir.

BIMI kurulumu adım adım

1. Tüm gönderim kaynaklarınızda SPF ve DKIM'i From alan adınızla hizalı çalışacak şekilde yapılandırın.
2. DMARC'ı p=none ile başlatın, raporları inceleyin ve kademeli olarak quarantine veya reject politikasına geçin.
3. Logoyu SVG Tiny PS profiline dönüştürün, bir doğrulama aracıyla kontrol edin ve HTTPS üzerinden yayımlayın.
4. Logoyu göstermek istediğiniz sağlayıcılar sertifika istiyorsa VMC veya CMC için başvurun; kurum ve marka belgelerinizi hazır tutun.
5. Sertifikayı PEM dosyası olarak yayımlayın ve default._bimi TXT kaydını ekleyin.
6. Farklı sağlayıcılardaki test hesaplarına ileti gönderip logonun görünüp görünmediğini izleyin.

Hangi e-posta sağlayıcıları BIMI logosunu gösterir?

BIMI desteği sağlayıcıdan sağlayıcıya değişir. Gmail (Google Workspace dahil), Yahoo Mail ve Apple Mail, BIMI logolarını gösteren başlıca sağlayıcılar arasındadır. Gmail, VMC kullanan göndericilerde logonun yanında mavi bir onay işareti de gösterir; Apple Mail ise logoyu göstermek için VMC ister. Her posta istemcisi BIMI'yi desteklemez ve gereksinimler zamanla değişebilir, bu yüzden güncel listeyi BIMI Group'un sitesinden takip etmek en doğrusudur.

BIMI'nin faydaları ve sınırları

Faydaları:

• Marka logosu gelen kutusunda görünür hale gelir ve iletileriniz kalabalık bir listede kolayca tanınır.
• Alıcılar, logolu iletinin kimliği doğrulanmış bir göndericiden geldiğine dair görsel bir ipucu alır.
• BIMI'ye hazırlanmak, DMARC politikanızı yaptırımlı düzeye taşımanızı gerektirir; asıl güvenlik kazancı da buradadır.

Sınırları:

• BIMI, saldırganın kendi adına kayıtlı benzer bir alan adı kullanmasını engellemez; e-posta sahteciliği için ek önlemler gerekir.
• Logo gösterimi garanti değildir; sağlayıcı kendi kriterlerine göre karar verir.
• Sertifikalar ücretlidir ve süreleri dolduğunda yenilenmelidir.

MXZilla'in DMARC rapor analizi, BIMI'nin ön koşulu olan yaptırımlı DMARC politikasına giden yolda hangi gönderim kaynaklarının hizalı geçmediğini görmenizi kolaylaştırır. İletilerinizin gelen kutusuna ulaşmasını etkileyen diğer etkenler için e-posta teslim edilebilirliği yazımıza da göz atabilirsiniz.

BIMI yolculuğuna DMARC raporlarınızı düzenli izleyerek başlayın. DMARC raporlaması ve gelen posta koruması için paketlerimizi inceleyebilirsiniz.

Sık sorulan sorular

BIMI için DMARC p=reject şart mı?

Şart değildir; p=quarantine de yeterlidir, ancak bu durumda eski pct etiketi kullanılıyorsa değeri 100 olmalıdır. p=none politikasıyla BIMI çalışmaz. Alt alan adı politikası da none olmamalıdır.

BIMI logosu her posta kutusunda görünür mü?

Görünmez. Logo yalnızca BIMI'yi destekleyen sağlayıcılarda, örneğin Gmail, Yahoo Mail ve Apple Mail'de gösterilir. Destekleyen sağlayıcılar da logoyu göstermeden önce sertifika ve gönderim itibarı gibi kendi koşullarını değerlendirir.

VMC sertifikası olmadan BIMI kullanılabilir mi?

Kayıt sertifikasız da yayımlanabilir, ancak Gmail ve Apple Mail gibi sağlayıcılar bu durumda logoyu göstermez. Marka tesciliniz yoksa Gmail için CMC sertifikası bir alternatiftir. Sertifika istemeyen sağlayıcıların koşulları ise değişkendir ve garanti sunmaz.

BIMI spam filtrelemesini etkiler mi?

BIMI doğrudan bir spam filtresi kuralı değildir ve logonun gösterilmesi iletinin gelen kutusuna düşeceği anlamına gelmez. Ancak BIMI'nin ön koşulu olan yaptırımlı DMARC ve hizalı kimlik doğrulama, teslim edilebilirliği olumlu etkileyen unsurlardır.

SVG logom neden BIMI'de görünmüyor?

En sık neden, dosyanın SVG Tiny PS profiline uymamasıdır; betik, dış bağlantı veya eksik title öğesi gibi ayrıntılar dosyayı geçersiz kılar. Logonun HTTPS ile erişilebilir olmadığı ya da sertifikadaki logoyla birebir aynı olmadığı durumlarda da logo gösterilmez. Bu kontrollerden sonra DMARC politikanızın yaptırımlı olduğunu da yeniden doğrulayın.

BIMI logosu ne kadar sürede görünür?

Kayıt, logo ve sertifika doğru olsa bile logo hemen görünmeyebilir, çünkü sağlayıcılar logoları önbelleğe alır ve gönderim geçmişinizi değerlendirir. Bu süre sağlayıcıya göre değişir. Birkaç gün içinde logo görünmezse kaydı, SVG dosyasını ve sertifikayı doğrulama araçlarıyla yeniden kontrol edin.