Brand Indicators for Message Identification

Brand Indicators for Message Identification, kortweg BIMI, is een in 2020 geïntroduceerde e-mailstandaard die het mogelijk maakt om het logo van de verzendende organisatie te vertonen in de mailbox van de ontvanger. BIMI geldt als extra verificatiemethode voor de echtheid van een e-mailbericht.[1]

Om BIMI in te kunnen zetten, is het voor de verzendende organisatie nodig om een actief SPF-record, DKIM-sleutel en DMARC-beleid te hanteren. Net als voorgaande methoden, is het BIMI-record opgenomen in de DNS-instellingen van een e-maildomein. Door te verwijzen naar een logo in SVG-formaat kan de eigenaar van het e-maildomein aantonen welk logo bij zijn of haar e-mailadres hoort.[2]

Ontwerp

BIMI bestaat uit twee onderdelen: een methode waarmee domeineigenaren de locatie van hun merkindicatoren kunnen publiceren, en een mechanisme waarmee mail transfer agents (MTA’s) de authenticiteit van deze indicatoren kunnen verifiëren.[3][4]

Voor de implementatie van BIMI is een geldig DMARC-record in het DNS vereist met een beleid van quarantine of reject. Daarnaast is een exact vierkant logo van het merk nodig in het formaat SVG Tiny P/S,[5][6] evenals een DNS-TXT-record waarin de URI-locatie van het SVG-bestand wordt gespecificeerd. Het enige ondersteunde transportprotocol voor deze URI is het HTTPS-protocol.[3]

Het onderdeel a= is optioneel. Indien aanwezig verwijst het naar een zogenoemd verificatiecertificaat; de enige momenteel gebruikte vorm hiervan is het Verified Mark Certificate (VMC).[7] Wanneer dit onderdeel ontbreekt, wordt het BIMI-record beschouwd als self-asserted.[8]

Daarnaast vereisen sommige diensten, zoals Gmail, dat een VMC wordt verkregen en samen met het TXT-record wordt aangeboden voordat een merklogo daadwerkelijk in de inbox wordt weergegeven.[9] Zelfs wanneer aan deze voorwaarden is voldaan, is weergave van een BIMI-logo niet gegarandeerd. Factoren zoals spamdetectie, bescherming tegen spoofing en de reputatie van het verzendende domein spelen hierbij eveneens een rol.[10]

Om de waarde van het TXT-record default._bimi voor een bepaald domein op te vragen, kan het opdrachtregelprogramma dig worden gebruikt. Zo kan met het volgende commando het TXT-record voor het domein example.com worden opgevraagd:[11]

dig +short default._bimi.example.com TXT

Voordelen aan BIMI

BIMI moet de volgende voordelen voor verschillende partijen binnen een e-mailstroom bieden:

E-mailverzenders
  • Visualisatie van DMARC compliance
  • Gemakkelijk managen van getoonde bedrijfslogo
Inbox providers (zoals Gmail of Yahoo!)
  • Verlaagd risico op phishing
  • Verbeterde gebruikerservaring
(E-mail)marketeers
  • Verhoogde merkwaarde
  • Verhoogde open rates

Mogelijke nadelen aan BIMI

De introductie van BIMI gaat ook gepaard met vragen vanuit de branche, die vooral slaan op de controle van de betreffende logo's. Het is (nog) onduidelijk hoe er precies omgegaan wordt met validatie van logo's op grote schaal. Hierdoor lijkt BIMI voorlopig in een spagaat te staan: Door handmatige validatie kunnen alleen grote bedrijven (verzenders van miljoenen e-mails per week) gebruik maken van BIMI, maar door het automatiseren van de validatie zou de effectiviteit van BIMI in het geding kunnen komen, door misbruik van logo's.

Vergelijking met regionale systemen

In Duitsland, Oostenrijk en Zwitserland wordt met TrustedDialog een alternatief systeem toegepast dat eveneens de zichtbare weergave van merklogo’s in de e-mailinbox mogelijk maakt.[12] In tegenstelling tot BIMI vereist TrustedDialog geen DMARC-conformiteit, maar is het uitsluitend gebaseerd op een geverifieerde DKIM-handtekening. Bovendien is de ondersteuning beperkt tot specifieke e-mailproviders in het Duitstalige gebied, waaronder WEB.DE, GMX, freenet, 1&1 en T-Online.[13]