BIMI: il logo accanto al mittente

Il BIMI mostra il logo aziendale accanto ai tuoi messaggi. Serve un DMARC applicato, un SVG in un profilo preciso e, per Gmail e Apple Mail, un certificato di marchio.

Il BIMI è l'insegna sopra la porta. Se tutto è in ordine, il destinatario vede il tuo logo accanto al mittente invece dell'iniziale grigia generata a caso. È l'unico dei meccanismi di questa verifica che si vede a occhio nudo, e anche per questo viene chiesto spesso dal marketing.

La cosa da sapere prima di cominciare è che il BIMI non è un interruttore. È una ricompensa: il logo compare solo per chi ha già messo in ordine tutto il resto. Il record da solo non fa nulla — e un record BIMI pubblicato su un dominio con il DMARC in osservazione è, per il mondo esterno, una riga di testo senza effetti.

Com'è fatto il record

Il BIMI è un record TXT su un nome che contiene un selettore, quasi sempre default:

default._bimi.esempio.it.  TXT  "v=BIMI1; l=https://esempio.it/bimi/logo.svg; a=https://esempio.it/bimi/vmc.pem"

Il default davanti a _bimi è il selettore: permette loghi diversi per sottodomini diversi, ma nella pratica quasi tutti usano default.

Le tre condizioni

Prima: il DMARC deve essere applicato. Serve p=quarantine o p=reject, senza pct inferiore a 100 e senza un sp che indebolisca i sottodomini. Un dominio su p=none non mostrerà mai il logo, per quanto il record BIMI sia perfetto. Questa è, nella grandissima maggioranza dei casi, la ragione per cui il logo non compare.

Seconda: il logo deve essere un SVG in un profilo preciso. Non basta esportare un SVG da un programma di grafica. Il profilo richiesto è SVG Tiny 1.2 Portable/Secure, che significa: formato quadrato, un elemento <title> con il nome dell'azienda, nessuno script, nessuna animazione, nessun riferimento a file esterni, nessun testo come testo — solo tracciati. Il file va pubblicato su HTTPS con un certificato valido.

Terza: per Gmail e Apple Mail serve un certificato di marchio. Il VMC (Verified Mark Certificate) o il CMC è un file che un'autorità emette dopo aver verificato che il logo corrisponde a un marchio effettivamente registrato a tuo nome. Presuppone quindi una registrazione di marchio, ha un costo annuo e va rinnovato. Senza, il logo compare al massimo in alcune caselle minori.

Messe insieme, queste tre condizioni spiegano perché il BIMI è l'ultimo passo e non il primo. Se il DMARC non è ancora applicato, il tempo è meglio speso lì: quello protegge, questo si vede.

Come si imposta

1. Porta il DMARC su p=quarantine — vedi DMARC. Senza, i passi successivi non producono nulla.
2. Fai preparare il logo in SVG Tiny 1.2 P/S: quadrato, con <title>, senza script né animazioni. Non è un lavoro da cinque minuti se il logo originale contiene testo o sfumature.
3. Carica il file sul tuo sito, via HTTPS. Vale qualsiasi hosting — Aruba, Register.it, Netsons, Serverplan, IONOS o il tuo server: conta solo che l'indirizzo risponda pubblicamente.
4. Se vuoi il logo in Gmail e Apple Mail, richiedi un VMC a un'autorità che li emette. Serve il marchio registrato e la procedura richiede settimane, non giorni.
5. Pubblica il file PEM del certificato sul sito, sempre via HTTPS.
6. Crea nella zona DNS un record TXT con nome default._bimi e come valore la riga vista sopra.
7. Spedisci un messaggio di prova a una casella Gmail e guarda se il logo compare. Può volerci qualche giorno: gli operatori mettono in cache l'esito.

I rilievi nel dettaglio

Più record BIMI

Sotto default._bimi ci sono due o più record che cominciano con v=BIMI1. Ne è ammesso uno; con più di uno non viene mostrato alcun logo.

Che cosa fare. Tieni il record corretto, cancella gli altri. Capita quasi sempre dopo un cambio di logo, quando il vecchio record non è stato rimosso.

BIMI senza DMARC applicato

Il record BIMI c'è, ma il DMARC del dominio non soddisfa la condizione: è su p=none, oppure ha un pct inferiore a 100, oppure un sp che esclude i sottodomini. Il logo non comparirà da nessuna parte.

Che cosa fare. Lascia stare il BIMI per ora e occupati del DMARC: leggi i rapporti, sistema i canali che falliscono, passa a p=quarantine. Quando ci arrivi, il BIMI comincia a funzionare da solo, senza toccare altro.

BIMI senza indirizzo del logo

Nel record manca il campo l=, quindi non c'è nessun file da mostrare. Di solito è un record scritto a metà, o copiato da un esempio e mai completato.

Che cosa fare. Aggiungi l=https://…/logo.svg con l'indirizzo completo del file, compreso https://.

Logo BIMI non raggiungibile

L'indirizzo in l= non restituisce nessun file. Le cause tipiche: il file non è mai stato caricato, è stato spostato durante un rifacimento del sito, l'indirizzo è scritto in http:// invece che https://, oppure il certificato del sito non è valido. Gli operatori di posta scaricano il file allo stesso modo e, non trovandolo, non mostrano niente.

Che cosa fare. Apri l'indirizzo del record in un browser, in una finestra anonima. Se non vedi il logo, non lo vedrà nessuno. Correggi l'indirizzo o ricarica il file.

Logo BIMI nel formato sbagliato

Il file si scarica ma non rispetta il profilo SVG Tiny 1.2 Portable/Secure. Le mancanze più frequenti: il file non è quadrato, manca l'elemento <title>, ci sono script o animazioni, oppure il logo richiama caratteri o immagini da fuori. Una normale esportazione da un programma di grafica quasi mai è conforme.

Che cosa fare. Fai rilavorare il file da chi ha fatto il logo, indicando il profilo richiesto: tela quadrata, un <title> con il nome dell'azienda, testo convertito in tracciati, niente script, niente animazioni, niente riferimenti esterni. Poi ricarica e verifica di nuovo.

BIMI senza certificato di marchio

Nel record manca il campo a=. Il record è formalmente valido, ma Gmail, Apple Mail e Yahoo non mostrano il logo senza un certificato di marchio verificato: nella pratica il BIMI resta senza effetto quasi ovunque.

Che cosa fare. Due strade oneste. O avvii la richiesta di un VMC — presuppone un marchio registrato e ha un costo annuo — oppure lasci il record così com'è, sapendo che per ora è una preparazione e non un risultato. Quello che non conviene è aspettarsi il logo.

Certificato di marchio non raggiungibile

L'indirizzo indicato in a= non restituisce nessun file. Come per il logo: se il file non si scarica, la verifica del logo non può avvenire.

Che cosa fare. Controlla l'indirizzo e carica il file PEM sul sito, raggiungibile pubblicamente via HTTPS. Non serve nasconderlo: il certificato è un documento pubblico.

Il file non è un certificato

All'indirizzo in a= c'è qualcosa, ma non un file PEM contenente un certificato. Succede quando viene caricato il file sbagliato — la ricevuta dell'ordine, una chiave privata, un PDF — o quando il server risponde con una pagina di errore al posto del file.

Che cosa fare. Pubblica il file PEM che ti ha consegnato l'emittente, senza modificarlo. Se non sei sicuro di quale sia, è quello che comincia con -----BEGIN CERTIFICATE-----.

Certificato di marchio illeggibile

Il file contiene un certificato, ma non si riesce ad analizzarlo. Quasi sempre è stato danneggiato nel trasferimento: righe riformattate da un editor, caratteri di fine riga cambiati, oppure due certificati incollati male.

Che cosa fare. Riscarica il file dall'emittente e caricalo senza aprirlo in un programma di scrittura. Se la catena richiede più certificati, incollali uno dopo l'altro, ognuno completo delle sue righe di apertura e chiusura.

Certificato di marchio scaduto

La validità del certificato è terminata. Un certificato scaduto non viene accettato da nessuno: il logo sparisce dalla casella, di solito senza che nessuno in azienda colleghi le due cose.

Che cosa fare. Rinnova il certificato presso l'emittente e pubblica il nuovo file allo stesso indirizzo. Poi segna la prossima scadenza in calendario, con un promemoria almeno un mese prima.

Il certificato di marchio scade a breve

La validità termina tra meno di trenta giorni. Non è ancora un problema, ma lo diventa alla data indicata — e il rinnovo non è immediato, perché l'emittente ricontrolla il marchio.

Che cosa fare. Avvia subito il rinnovo. Trenta giorni sono un margine ragionevole, non abbondante.

Certificato senza estensione logotype

Il file è un certificato valido, ma non è un certificato di marchio: gli manca l'estensione logotype, quella che contiene il logo verificato. È il caso classico di chi ha pubblicato per errore il certificato TLS del proprio sito.

Che cosa fare. Pubblica il VMC o il CMC vero, quello emesso appositamente per il BIMI. Un certificato TLS, per quanto valido, non contiene nulla che riguardi il tuo marchio.

Domande frequenti

Ho fatto tutto e il logo non compare. Perché?

Nell'ordine: il DMARC è davvero su quarantine o reject, senza pct? Il certificato di marchio c'è? Il logo si scarica da una finestra anonima? Se le risposte sono tutte sì, dai tempo: gli operatori mettono in cache l'esito della verifica e possono passare alcuni giorni prima che il logo compaia.

Serve per forza un marchio registrato?

Per Gmail e Apple Mail sì, perché il certificato viene emesso solo a fronte di un marchio registrato presso un ufficio riconosciuto. Esiste anche il CMC, pensato per i loghi che un marchio registrato non ce l'hanno, ma non è accettato ovunque come il VMC.

Il BIMI migliora il recapito?

No, non direttamente. Nessun operatore filtra meglio i messaggi perché c'è un logo. L'effetto è sul riconoscimento da parte di chi legge. Il miglioramento nel recapito viene dal DMARC applicato, che del BIMI è il prerequisito — quindi indirettamente sì, ma il merito è dell'altro.

Posso usare un logo diverso per un sottodominio?

Sì: il selettore davanti a _bimi serve proprio a questo. Ogni selettore ha il suo record, il suo file SVG e il suo certificato. In pratica lo fanno in pochissimi, perché ogni variante è un certificato in più da pagare e rinnovare.