Authentification et DNS
BIMI
BIMI est une norme e-mail qui affiche le logo de votre marque à côté de vos e-mails, dans les boîtes de réception qui la prennent en charge. Elle ne fonctionne que si votre domaine est déjà protégé par DMARC.
Qu’est-ce que BIMI dans l’e-mail ?
BIMI signifie Brand Indicators for Message Identification. C’est une norme e-mail qui affiche le logo d’une marque à côté de ses e-mails. Le logo s’affiche dans le petit cercle qui montre d’habitude l’initiale de l’expéditeur. Il n’apparaît que dans les boîtes de réception qui prennent BIMI en charge.
BIMI ne remplace aucun contrôle de sécurité. Il s’appuie sur DMARC. Le logo ne s’affiche que pour les e-mails qui passent DMARC.
Un exemple dans Gmail
Ouvrez l’application Gmail. À gauche de chaque e-mail, il y a un petit cercle. Pour la plupart des expéditeurs, le cercle montre une lettre ou une photo de profil.
Prenons une marque fictive, Boulangerie Martin, avec le domaine exemple.com. Elle a publié un enregistrement BIMI et obtenu un certificat. Quand vous recevez sa newsletter, le cercle affiche le logo de la boulangerie. Avec un certificat VMC, Gmail ajoute aussi une coche bleue à côté du nom de l’expéditeur.
Ce qu’il faut avant d’utiliser BIMI
Il faut trois choses.
1. DMARC en mode application. Votre politique DMARC doit être p=quarantine ou p=reject. Google indique que BIMI ne fonctionne pas avec une politique p=none. Vos e-mails doivent aussi passer DMARC, grâce à SPF ou DKIM.
2. Un logo au format SVG Tiny PS. SVG est un format d’image fait de formes, pas de pixels. SVG Tiny PS est une version réduite de ce format, faite pour s’afficher sans risque dans une boîte de réception. Le logo doit être carré et contenir un titre avec le nom de la marque. Les scripts, les images intégrées, les animations et les liens vers des fichiers externes sont interdits. Le fichier doit rester sous 32 Ko.
3. Un certificat de marque pour Gmail. Un certificat est un fichier émis par un organisme qui confirme que le logo vous appartient. Il en existe deux types.
| Certificat | Ce qu’il faut | Ce que Gmail affiche |
|---|---|---|
| VMC (Verified Mark Certificate) | Une marque déposée | Le logo et une coche bleue |
| CMC (Common Mark Certificate) | Pas de marque déposée | Le logo, sans coche |
Les certificats viennent d’une courte liste d’autorités de certification. Google publie la liste de celles qu’il accepte.
L’enregistrement BIMI
L’enregistrement BIMI est un enregistrement DNS TXT. Le DNS est l’annuaire public d’Internet qui relie les noms de domaine aux serveurs. Un enregistrement TXT est une ligne de texte publiée dans ce DNS. L’enregistrement BIMI se place à l’adresse default._bimi.exemple.com. Voici un exemple :
v=BIMI1; l=https://exemple.com/bimi/logo.svg; a=https://exemple.com/bimi/cert.pemv=BIMI1indique qu’il s’agit d’un enregistrement BIMI.l=est l’adresse HTTPS de votre logo SVG.a=est l’adresse HTTPS de votre certificat VMC ou CMC, un fichier PEM.
Le mot default dans l’adresse est le sélecteur. La plupart des marques n’en ont besoin que d’un. Un autre sélecteur ne sert que si vous voulez des logos différents selon le type d’e-mail.
Quelles boîtes de réception affichent BIMI
Chaque fournisseur a ses propres règles.
- Gmail affiche le logo seulement avec un certificat VMC ou CMC.
- Apple Mail affiche le logo seulement avec un certificat VMC.
- Yahoo et Fastmail peuvent afficher un logo à partir d’un enregistrement sans certificat.
Si votre logo ne s’affiche pas, les causes les plus fréquentes sont connues. DMARC est encore à p=none. Le logo n’est pas un SVG Tiny PS valide. Le certificat manque ou a expiré. Ou la boîte de réception ne prend pas BIMI en charge. Les fournisseurs peuvent aussi mettre un certain temps à lire un nouvel enregistrement.
Comment configurer BIMI
- Passez votre politique DMARC à
p=quarantineoup=reject. - Préparez votre logo en SVG Tiny PS et testez le fichier.
- Choisissez un certificat, VMC ou CMC, selon que votre logo est une marque déposée.
- Mettez le logo et le certificat en ligne à des adresses HTTPS.
- Publiez l’enregistrement TXT à
default._bimisur votre domaine.
Notre générateur BIMI (en anglais) crée l’enregistrement. Il vérifie aussi votre logo SVG dans votre navigateur, avant que vous achetiez un certificat.
BIMI et vérification d’email
BIMI ne fait pas arriver vos e-mails dans la boîte de réception. Il affiche un logo sur les e-mails qui y arrivent déjà. La vérification d’email agit avant l’envoi. Elle retire les adresses qui n’existent pas, donc vos e-mails font moins de hard bounces. Vous pouvez vérifier une adresse mail ou passer toute la liste dans la vérification d’email en masse.
Termes liés
- DMARCDMARC est une règle que vous publiez dans le DNS de votre domaine. Elle dit aux serveurs de réception quoi faire d’un e-mail qui prétend venir de votre domaine mais échoue aux contrôles SPF et DKIM. Elle indique aussi où vous envoyer des rapports.
- DKIMDKIM est une signature numérique ajoutée à chaque e-mail que vous envoyez. Elle prouve que l’e-mail vient bien de votre domaine et que personne ne l’a modifié en route. Le serveur qui reçoit l’e-mail vérifie cette signature avec une clé publiée dans votre DNS.
- Enregistrement SPFUn enregistrement SPF est une ligne publiée dans le DNS de votre domaine, qui liste les serveurs autorisés à envoyer des e-mails en son nom. Le serveur qui reçoit un e-mail le lit pour vérifier que l'e-mail vient bien d'un de vos serveurs.
- Email spoofingL’email spoofing, ou usurpation d’adresse mail, consiste à envoyer un e-mail avec une fausse adresse d’expéditeur. L’e-mail semble venir de quelqu’un d’autre, par exemple votre banque ou votre directeur. Le but est souvent de vous faire payer ou de voler un mot de passe.
- Enregistrement TXT DNSUn enregistrement TXT DNS est une ligne de texte enregistrée dans les réglages de votre domaine. Les serveurs de messagerie lisent les enregistrements TXT pour contrôler SPF, DKIM et DMARC. D’autres services les lisent pour confirmer que le domaine vous appartient.
- Réputation de domaineLa réputation de domaine, ou domain reputation, mesure la confiance que Gmail, Outlook et les autres fournisseurs accordent à votre nom de domaine, la partie de votre adresse après le @. Elle vous suit même si vous changez de service d’envoi.