BIMI

BIMI

BIMI (Brand Indicators for Message Identification) is een nieuwe e-mailstandaard die ontvangers helpt om legitieme e-mails te herkennen. BIMI borduurt voort op DMARC. Waar SPF, DKIM en DMARC grotendeels op de achtergrond hun werk doen op een mailserver, maakt BIMI de resultaten van dat werk zichtbaar voor de ontvanger.

Hoe? Door bij legitieme e-mails het logo van de afzender in de inbox van de ontvanger te tonen. Zo wordt de gebruiker betrokken bij het herkenningsproces. Dat is vergelijkbaar met de webbrowser, waar het icoontje van het dichte slotje naast het https-adres in de webbrowser aangeeft dat het webverkeer is versleuteld en de website wordt vertrouwd.

Hoe werkt het?

BIMI wordt ingesteld voor je uitgaande mail. Om het te kunnen gebruiken, moet DMARC eerst goed ingericht worden (en dus ook SPF en DKIM). BIMI werkt alleen als in het DMARC-record een reject of quarantine policy wordt gebruikt. Voor de BIMI-configuratie maken wij een BIMI-record aan in je DNS. In dat record wordt de volgende informatie geplaatst:

• een verwijzing naar een online locatie waar het logo van je organisatie is te vinden
• een verwijzing naar een Verified Mark Certificate (VMC).

Een VMC is een bewijs dat het logo waar je in het record naar verwijst daadwerkelijk het logo van je organisatie en het bijbehorende domein is. Een VMC voorkomt dat kwaadwillenden je logo gebruiken om zich als jouw organisatie voor te doen. Je kunt een VMC aanvragen bij een Mark Verifying Authority (MVA). Dat is een vertrouwde derde partij die garant staat voor de authenticiteit van je logo.

Een ontvangende e-maildienst die BIMI ondersteunt, voert de DMARC-policy van de vermelde afzender uit. Als het ontvangen e-mailbericht met succes door de DMARC-controle heen komt, valideert de e-maildienst het logo in het BIMI-record tegen het VMC. Als de validatie slaagt, toont de e-maildienst het logo bij het e-mailbericht in de inbox van de ontvanger.

Goed om te weten

• BIMI is een jonge standaard en er zijn momenteel nog niet veel e-maildiensten die het ondersteunen. Ook het aantal MVA’s is nog klein. We verwachten dat de ondersteuning van e-maildiensten de komende jaren zal toenemen.
• Je kunt BIMI pas toevoegen als je DMARC al volledig hebt ingesteld voor je domein.
• E-maildiensten die BIMI ondersteunen, kunnen verschillende criteria hebben waarop ze besluiten om het logo daadwerkelijk in de inbox te tonen.
• Niet alle e-maildiensten die BIMI ondersteunen, stellen een VMC verplicht. Je kunt het dus weglaten in je BIMI-record. Maar dan wordt het logo niet getoond door e-maildiensten die een VMC wél verplichten. Bovendien maakt het ontbreken van een VMC het makkelijker voor kwaadwillenden om je logo ongeoorloofd te gebruiken.
• Als je naast een e-mail in je inbox het logo van de afzender ziet, wil dat niet per se zeggen dat die afzender BIMI heeft ingesteld. Naast BIMI zijn er namelijk andere, niet-gestandaardiseerde technieken die e-maildiensten gebruiken om het logo van een afzender in de inbox te tonen.