Frequently Asked Questions

BIMI è un acronimo per Brand Indicators for Message Identification. È un modello emergente nell’universo della posta elettronica che fornisce ad aziende e brand due elementi chiave in più per rafforzare e accreditare la propria reputazione come mittente: il logo e la spunta blu.

Come altri metodi di autenticazione e verifica (SPF, DMARC e DKIM) BIMI è un record di testo che risiede sui tuoi server. Fa leva sulle policy DMARC in uso e su altri metodi di autenticazione di supporto come DKIM e SPF. Ma BIMI è differente perché ti permette di far visualizzare il logo della tua azienda nelle caselle di posta supportate, mettendo il tuo marchio in primo piano.

Google ha introdotto la spunta blu su Gmail sia per gli utenti gratuiti che per quelli Google Workspace. Questo segno distintivo indica che l’identità del mittente è stata verificata.

Ecco la risposta per coloro che si chiedono come ottenere la spunta blu su Gmail: è necessario implementare BIMI, autenticare il proprio logo tramite un certificato VMC legato al proprio dominio di posta.

Le aziende ne possono trarre un grande vantaggio, evitando frodi, proteggendosi dal phishing, ma soprattutto rafforzando l’identità del proprio brand!

BIMI è stato lanciato nel 2020. Da allora ha ricevuto numerosi aggiornamenti per migliorarne le funzionalità.

Nel gennaio 2021, Google ha annunciato il supporto BIMI per i messaggi in arrivo su Gmail.
Oggi è supportato anche da:

• Yahoo! Mail
• AOL Mail
• Outlook.com
• FastMail

Nel 2023, Gmail ha introdotto anche una spunta blu accanto al nome del mittente per indicare che l’identità dell’azienda è stata verificata tramite BIMI e VMC.

BIMI è un protocollo di autenticazione email che consente alle aziende di visualizzare il proprio logo accanto ai messaggi di posta elettronica inviati dal loro dominio. Funziona come un’estensione del protocollo DMARC (Domain-based Message Authentication, Reporting & Conformance) e si basa sull’uso di un certificato VMC (Verified Mark Certificate) e di un’immagine del marchio in formato SVG.

Grazie a BIMI:

Si riducono i rischi di phishing e si migliora la fiducia nel brand.

Gli utenti finali vedono il logo dell’azienda direttamente nella casella di posta, accanto all’oggetto del messaggio.

L’esperienza utente diventa più sicura, trasparente e riconoscibile.

Che cosa sono i VMC (Verified Mark Certificate)?

I VMC sono certificati digitali utilizzati per autenticare l’identità del mittente di un messaggio di posta elettronica, associando un dominio specifico a una società o entità legittima.

Per ottenere un VMC, l’organizzazione deve dimostrare di essere il reale proprietario del dominio, tramite un processo di verifica dell’identità. Questo processo può includere: la presentazione di documenti di proprietà del dominio, la verifica della registrazione del marchio, e, in alcuni casi, metodi di autenticazione a due fattori.

Una volta ottenuto, il VMC consente all’organizzazione di:

• firmare digitalmente le proprie email, garantendone l’autenticità,
• mostrare il proprio logo registrato e la spunta blu accanto al messaggio nella casella di posta del destinatario (se supportati dal client email),
• rafforzare la fiducia degli utenti finali nella comunicazione aziendale.

I VMC sono emessi da Certificate Authority (CA) ufficialmente riconosciute, come Digicert, che applicano rigorosi standard di controllo sull’identità del richiedente.
In combinazione con DMARC e lo standard BIMI, i VMC contribuiscono a contrastare phishing, spoofing e altre minacce informatiche, migliorando la reputazione e la visibilità del brand nelle comunicazioni digitali.

DMARC (Domain-based Message Authentication, Reporting & Conformance) è un protocollo di autenticazione delle email che aiuta a proteggere un dominio dall’uso non autorizzato, come nel caso dello spoofing.

Grazie a DMARC, è possibile:

• Evitare attacchi di phishing e-mail che fingono di provenire da indirizzi aziendali reali.
• Difendere l’azienda da compromissioni di e-mail (BEC – Business Email Compromise) e truffe mirate come il whaling.
• Migliorare la deliverability delle email legittime, aumentando la fiducia dei destinatari.
• Ricevere report dettagliati sull’uso del proprio dominio in invii email.

Implementare DMARC, insieme a SPF e DKIM, è uno dei modi più efficaci per bloccare le minacce informatiche legate alla posta elettronica aziendale.

BIMI (Brand Indicators for Message Identification) e DMARC (Domain-based Message Authentication, Reporting and Conformance) sono due tecnologie di autenticazione email correlate. In particolare, DMARC è una tecnologia di autenticazione email che fornisce un meccanismo per specificare le politiche di autenticazione email dell’azienda e per ricevere report dettagliati sulle email che non passano l’autenticazione.

BIMI, d’altra parte, è una tecnologia che consente alle aziende di autenticare le proprie email e di mostrare il proprio logo e la spunta blu, accanto al mittente dell’email. BIMI utilizza le informazioni fornite da DMARC per verificare l’autenticità delle email inviate dall’azienda e per mostrare il logo dell’azienda accanto al mittente dell’email.

DMARC fornisce l’autenticazione email necessaria per implementare BIMI e per garantire la sicurezza e l’autenticità delle email inviate dall’azienda. Senza DMARC, BIMI non può funzionare correttamente.

BIMI e DMARC sono due tecnologie di autenticazione email correlate e complementari. DMARC fornisce l’autenticazione email necessaria per implementare BIMI e garantire la sicurezza e l’autenticità delle email inviate dall’azienda, mentre BIMI utilizza queste informazioni per mostrare il logo dell’azienda accanto al mittente dell’email e aumentare la fiducia dei clienti e degli utenti finali.

Il termine “spoof“, in inglese, ha vari significati, come “falso”, “beffa” e “imbrogliare”, tutti termini che rientrano nel campo semantico del raggiro.
Lo spoofing dell’e-mail si verifica quando il mittente falsifica il proprio indirizzo, impersonando quindi l’dentità di un altro indirizzo per sembrare legittimo. Potremmo quindi definire lo spoofing come una tecnica di camuffamento
Gli attacchi di spoofing e-mail di solito mirano a rubare le tue informazioni, infettare il tuo dispositivo con malware o richiedere denaro.

Il phishing si serve dello spoofing per inviare email sofisticate e studiate affinchè sembrino provenire da una fonte legittima, ma con lo scopo preciso di fare rivelare al destinatario informazioni personali e riservate. Come ad esempio numeri di carte di credito o credenziali di accesso.

BIMI è il futuro della sicurezza della posta elettronica, in quanto ne rafforza l’ecosistema complessivo.
Per qualificarsi a BIMI, i domini di invio di un’organizzazione devono:

• essere conformi allo standard DMARC,
• ottenere un VMC (Verified Mark Certificate) da un’autorità di certificazione (CA) approvata.

Oltre alla sicurezza, la visualizzazione del logo e della spunta blu nei client di posta elettronica aumenta considerevolmente la fiducia visiva dei consumatori nelle email ricevute.

I requisiti di protezione della posta elettronica previsti da DMARC e l’adozione di BIMI contribuiscono a migliorare la salute dell’intero ecosistema della posta elettronica.
Infatti, se più organizzazioni adottassero BIMI, diventerebbero automaticamente protette da DMARC, rendendo più difficile per i criminali informatici rubare o impersonare l’identità di un dominio.

Oltre al suo impatto sulla sicurezza, BIMI offre numerosi vantaggi per le aziende: migliore visibilità del marchio, maggiore fiducia nella legittimità dell’email e migliore riconoscibilità del brand.
È stato inoltre dimostrato che BIMI influenza positivamente il comportamento d’acquisto dei consumatori

Migrare le impostazioni di invio delle newsletter a un sottodominio è una pratica consigliata per risolvere problemi di allineamento con DMARC. Questo consente di avere un controllo più preciso sulle email inviate e di assicurare che l’envelope-from e il dominio del mittente siano allineati, migliorando così la reputazione e la deliverability delle email.

Passaggi per la Migrazione delle Newsletter a un Sottodominio

1. Creare un Sottodominio Specifico:
   • Decidi un sottodominio dedicato per le tue newsletter, ad esempio newsletter.esempio.com.
   • Configura il sottodominio nel tuo DNS.
2. Configurare i Record DNS Necessari:
   • SPF (Sender Policy Framework): Assicurati di includere il sottodominio nel record SPF per autorizzare i server di invio. v=spf1 include:example.com include:spf.mailprovider.com -all
   • DKIM (DomainKeys Identified Mail): Configura il record DKIM per il sottodominio per autenticare le email.default._domainkey.newsletter.esempio.com IN TXT "v=DKIM1; k=rsa; p=..."
   • DMARC (Domain-based Message Authentication, Reporting, and Conformance): Imposta un record DMARC specifico per il sottodominio. _dmarc.newsletter.esempio.com IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@newsletter.esempio.com"
3. Aggiornare l’Envelope-From:
   • Configura il servizio di invio newsletter per utilizzare il nuovo sottodominio come envelope-from (newsletter.esempio.com). Questo è essenziale per l’allineamento con DMARC.

• Miglior Allineamento DMARC: L’uso di un sottodominio specifico consente di evitare conflitti di allineamento tra l’envelope-from e il dominio del mittente.
• Isolamento del Traffico Email: Questo permette una gestione e monitoraggio separati per le campagne di newsletter.
• Maggiore Flessibilità: Facilita l’applicazione di politiche diverse tra il dominio principale e i sottodomini, ottimizzando la deliverability delle email.

Se non si specifica il tag sp, i sottodomini erediteranno la politica p del dominio principale. Tuttavia, se si desidera una politica diversa per i sottodomini, è necessario specificarla esplicitamente con il tag sp o con un record DMARC dedicato per il sottodominio.

Come funziona DMARC per i sottodomini?

Per i sottodomini, DMARC consente due opzioni principali:

1. Ereditarietà dal Dominio Principale: Se non si specifica una politica DMARC per i sottodomini, essi ereditano automaticamente la politica del dominio principale. Ad esempio, se il dominio principale ha una politica di rifiuto (p=reject), anche i sottodomini seguiranno questa politica.
2. Politica Specifica per i Sottodomini: È possibile definire una politica DMARC specifica per un sottodominio utilizzando il tag sp. Questo è utile per impostare una politica diversa rispetto al dominio principale, come un approccio più flessibile o meno rigoroso.

Esempio di Record DMARC per il Dominio Principale e Sottodomini

• Dominio Principale:_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"
  • p=reject: Indica di rifiutare i messaggi non conformi.
  • rua: Indirizzo email per i report aggregati.
• Sottodominio Specifico:_dmarc.sottodominio.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@sottodominio.example.com"
  • p=quarantine: Metti in quarantena i messaggi non conformi.

La canonicalizzazione è il processo attraverso il quale le intestazioni e il corpo di un’email vengono convertiti in una forma standard canonica prima della firma DKIM. Si può pensare a questo come alla conversione dei dati in una forma canonica standard.

Alcuni sistemi di posta modificano le email in transito (ad esempio, i forwarder), ciò può invalidare la firma DKIM applicata. Alcuni firmatari DKIM possono accettare modifiche minori alle mail, mentre altri possono essere più rigorosi e richiedere una canonizzazione più stretta.

Sono stati creati due algoritmi di canonizzazione per gestire una modifica lieve o quasi nulla al messaggio prima della firma. Questi due algoritmi sono denominati “relaxed” e “simple”.

Dal punto di vista DKIM, le intestazioni e il corpo di un’email sono separati e gli algoritmi di canonicalizzazione sono specificati per entrambi, uno per le intestazioni e uno per il corpo.

Vengono rappresentati nel formato “canonicalizzazione/canonicalizzazione” per intestazione e corpo rispettivamente. Se non viene specificata una canonizzazione, viene utilizzato ‘simple’ sia per le intestazioni che per il corpo, risultando in “simple/simple”.

La canonizzazione “simple/simple” è la più rigorosa delle due e non permette praticamente modifiche all’intestazione e al corpo del messaggio. Tuttavia, questo può influenzare la firma DKIM, rendendola invalida a causa di alcuni forwarder. Molti problemi con la firma DKIM invalidata durante l’inoltro possono essere risolti cambiando la canonizzazione in “relaxed/relaxed”, che permette modifiche lievi alle email.

Se ti è mai capitato di ricevere email che sembrano provenire da mittenti legittimi, ma che in realtà sono truffe o spam, capirai l’importanza di garantire l’autenticità e l’integrità delle tue comunicazioni email. In questo contesto, entra in gioco ARC, un potente alleato nella lotta contro l’usurpazione e il phishing.

Cos’è ARC?

ARC, o Authentication Received Chain, è uno standard di autenticazione delle email progettato per migliorare la sicurezza e l’integrità delle email durante il loro inoltro attraverso server intermedi. Questa tecnologia consente di mantenere intatte le informazioni sull’autenticazione (come SPF, DKIM e DMARC) delle email quando passano attraverso server diversi. In breve, ARC aiuta a garantire che il mittente di un’email possa essere verificato e che il suo contenuto non sia stato alterato durante il transito.

I Vantaggi di ARC:

1. Migliorata Autenticazione: ARC consente di verificare l’autenticità dell’email anche quando passa attraverso server intermedi. Questo riduce il rischio di email spoofing e phishing.
2. Integrità dei Messaggi: Grazie ad ARC, le informazioni sul mittente e l’autenticazione vengono conservate e trasmesse in modo sicuro, garantendo che il contenuto dell’email non venga alterato durante l’inoltro.
3. Aumento dell’affidabilità: ARC contribuisce a migliorare la reputazione dei mittenti legittimi, poiché le email provenienti da loro possono essere autenticate più facilmente.

Come Funziona ARC:

Immagina che tu stia inviando un’email da “alice@example.com” a “bob@destination.com“. Durante il transito, questa email passa attraverso diversi server intermediari. Ecco come ARC funziona:

1. Email di Origine: Quando Alice invia l’email, il suo server (example.com) genera un header “ARC-Authentication-Results” che contiene le informazioni sull’autenticazione (ad esempio, SPF e DKIM) relative a example.com. Questo header è firmato digitalmente per garantirne l’integrità.
2. Server di Inoltro Intermedio: L’email passa attraverso uno o più server intermediari, ognuno dei quali verifica l’header ARC generato dal server di origine. Questi server aggiungono le proprie informazioni sull’autenticazione, firmano l’header ARC e passano l’email al server successivo.
3. Destinatario Finale: Quando l’email raggiunge il server di destinazione (destination.com), il server verifica tutti gli header ARC generati dai server intermediari. Se tutte le informazioni sull’autenticazione coincidono e sono autentiche, il messaggio viene accettato. In caso contrario, il server potrebbe rifiutare l’email o trattarla come sospetta.

In concreto:

Immagina che un mittente legittimo, ad esempio una banca, invii una notifica email a un cliente. Durante il transito attraverso server intermediari, ARC consente di verificare che l’email provenga effettivamente dalla banca e che il suo contenuto non sia stato alterato. Questo fornisce al destinatario la certezza che l’email sia autentica e sicura.

In sintesi, ARC è uno strumento potente per migliorare la sicurezza delle email e proteggere le tue comunicazioni da frodi e manipolazioni. Implementare ARC correttamente contribuirà a garantire che le email ricevute siano affidabili e autentiche, migliorando l’esperienza di tutti gli utenti.

Se desideri inviare i tuoi rapporti DMARC a un dominio diverso da quello del record, allora il dominio di ricezione deve configurare un record DNS in modo che i provider di servizi email sappiano che il destinatario autorizza i rapporti.

Dalla RFC-7489
È possibile specificare destinazioni per i diversi rapporti che sono al di fuori dell’autorità del proprietario del dominio che fa la richiesta.
Ciò consente a domini che non gestiscono server di posta di richiedere rapporti e inviarli a un luogo in grado di riceverli ed elaborarli. Senza controlli, un attore malevolo potrebbe pubblicare un record di politica DMARC che richiede che i rapporti vengano inviati a un indirizzo di una vittima e quindi inviare un gran volume di email che non supereranno né i controlli DKIM né SPF a una vasta gamma di destinazioni; la vittima si ritroverebbe sommersa da rapporti indesiderati. Pertanto, è incluso un meccanismo di verifica.

Ad esempio: se il tuo dominio è bimilogo.it e desideri inviare i tuoi rapporti al dominio dmarc-report.com, allora il dominio di ricezione (in questo caso dmarc-report.com) deve avere un record DNS TXT bimilogo.it._report._dmarc.dmarc-report.com con il contenuto v=DMARC1. Nota: questo record deve essere configurato sul DNS del destinatario dei tuoi rapporti DMARC.

Nella maggior parte dei casi, il dominio di ricezione creerà un record wildcard, il che significa essenzialmente che il dominio è disposto a ricevere rapporti DMARC per QUALSIASI dominio. Un record wildcard avrebbe questo aspetto: *._report._dmarc.example.com con un valore di “v=DMARC1”.

RUA (Aggregate Reporting): RUA sta per “Reporting URI for Aggregate” ed è l’indirizzo email o l’URL in cui vengono inviati i rapporti aggregati di DMARC. Questi rapporti contengono informazioni sulle statistiche aggregate delle email inviate dal dominio e sulle azioni prese dai destinatari in base alla politica DMARC.

RUF (Failure Reporting): RUF sta per “Reporting URI for Failure” ed è l’indirizzo email o l’URL in cui vengono inviati i rapporti di fallimento di DMARC. Questi rapporti contengono dettagli specifici sulle email che non hanno superato le verifiche DKIM (DomainKeys Identified Mail) o SPF (Sender Policy Framework) in base alla politica DMARC.

Quando si configura un record DMARC, è possibile specificare sia l’indirizzo RUA che quello RUF per ricevere i rapporti corrispondenti. Gli indirizzi specificati in RUA e RUF possono essere indirizzi email o URI (Uniform Resource Identifier) che puntano a un servizio di report dedicato.

I report RUF (Reporting URI for Forensic reports) nel DMARC (Domain-based Message Authentication, Reporting and Conformance) sono utilizzati per fornire informazioni dettagliate sulle email che non passano l’autenticazione SPF (Sender Policy Framework) o DKIM (DomainKeys Identified Mail). Questi report forniscono informazioni dettagliate sulle email che non passano l’autenticazione, incluse informazioni sui motivi per cui l’autenticazione è fallita e sui dettagli tecnici delle email stesse.

I report RUF sono importanti perché forniscono informazioni dettagliate che possono aiutare le aziende a identificare e prevenire la frode email. Ad esempio, i report RUF possono indicare se un mittente esterno ha inviato un’email fraudolenta a nome dell’azienda, o se un dipendente dell’azienda ha inviato un’email non autorizzata.

I report RUF possono aiutare le aziende a migliorare le proprie politiche di autenticazione email e a identificare eventuali problemi tecnici che possono impedire l’autenticazione delle email.

Tuttavia, è importante notare che i report RUF possono contenere informazioni sensibili, come ad esempio gli indirizzi IP dei mittenti delle email non autenticate. Per questo motivo, gli indirizzi email specificati nel tag RUF devono essere protetti e gestiti con attenzione.

Un record DMARC (Domain-based Message Authentication, Reporting and Conformance) è un tipo di record DNS che viene utilizzato per specificare le politiche di autenticazione email di un dominio e per ricevere report dettagliati sulle email che non passano l’autenticazione.

Il record DMARC fornisce un meccanismo per controllare come i provider di posta elettronica devono gestire le email che non passano l’autenticazione SPF (Sender Policy Framework) o DKIM (DomainKeys Identified Mail). Il record DMARC specifica se l’email deve essere rifiutata, accettata con precauzione o segnalata come non autenticata.

Il record DMARC è costituito da una serie di tag che specificano le politiche di autenticazione email dell’azienda. Alcuni dei tag più comuni includono:

• “v”: specifica la versione del record DMARC (attualmente “v=DMARC1”).
• “p”: specifica la politica di autenticazione email dell’azienda (ad esempio, “p=reject” per rifiutare le email non autenticate).
• “rua”: specifica l’indirizzo email a cui inviare i report di autenticazione email.
• “ruf”: specifica l’indirizzo email a cui inviare i report di fallimento dell’autenticazione email.

Il record DMARC viene aggiunto al DNS del dominio dell’azienda come un record TXT. Quando un provider di posta elettronica riceve un’email dal dominio dell’azienda, cerca il record DMARC per verificare le politiche di autenticazione email dell’azienda. Se l’email non passa l’autenticazione, il provider di posta elettronica segue le politiche specificate nel record DMARC.

Un record DMARC è un tipo di record DNS utilizzato per specificare le politiche di autenticazione email di un dominio e per ricevere report dettagliati sulle email che non passano l’autenticazione. Il record DMARC viene aggiunto al DNS del dominio dell’azienda come un record TXT e fornisce un meccanismo per controllare come i provider di posta elettronica devono gestire le email non autenticate.

DMARC (Domain-based Message Authentication, Reporting and Conformance) è una tecnologia di autenticazione email che permette alle aziende di proteggere la propria reputazione online e di prevenire la frode email. DMARC funziona in modo simile ad altre tecnologie di autenticazione email come SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail), ma aggiunge un livello di controllo e di reporting più avanzato.

DMARC permette alle aziende di specificare le politiche di autenticazione email per il proprio dominio e di ricevere report dettagliati sulle email che non passano l’autenticazione. In questo modo, le aziende possono identificare le email fraudolente e prevenirle, migliorando la reputazione online e la sicurezza delle proprie email.

DMARC utilizza una combinazione di SPF e DKIM per autenticare le email e verifica che il mittente sia autorizzato a inviare email a nome del dominio specificato. Se l’autenticazione fallisce, DMARC specifica come gestire l’email (ad esempio, rifiutare, segnalare o accettare con precauzione) e invia un report dettagliato all’azienda sulle email che non passano l’autenticazione.

DMARC è stato sviluppato come standard aperto e viene supportato da molti provider di posta elettronica, compresi Gmail, Yahoo, AOL e Microsoft. DMARC è anche raccomandato dallo standard Email Authentication Policy and Deployment (DMARC) del National Institute of Standards and Technology (NIST) degli Stati Uniti.

DMARC è una tecnologia di autenticazione email avanzata che permette alle aziende di proteggere la propria reputazione online e di prevenire la frode email. DMARC utilizza una combinazione di SPF e DKIM per autenticare le email e fornisce un meccanismo per specificare le politiche di autenticazione email dell’azienda e per ricevere report dettagliati sulle email che non passano l’autenticazione.

Se il tuo messaggio aziendale viene filtrato in spam o bloccato dall’ISP, potresti avere problemi a raggiungere la tua audience e potenzialmente perdere clienti. Questo è il motivo per cui DKIM (DomainKeys Identified Mail) è uno dei vari protocolli di autenticazione delle email che può aumentare la consegna delle email e migliorare l’efficacia delle tue campagne di marketing via email.

DKIM funziona attraverso una coppia di chiavi pubbliche e private che verificano la firma digitale del messaggio e la sua autenticità. Quando un ISP riceve una mail firmata con le chiavi DKIM, viene effettuata una verifica per garantirne l’autenticità e origine.

Tuttavia, è bene ruotare le chiavi DKIM ogni 12 mesi, possono diventare obsolete o meno affidabili. Per questo motivo, è importante eseguire regolarmente la rotazione delle chiavi DKIM. Ciò significa che a intervalli regolari, si devono creare nuove chiavi DKIM e revocare quelle vecchie per garantire che la tua email venga considerata autentica e originale. Questo processo migliora anche la sicurezza delle email e riduce la possibilità di frodi da parte di terze parti.

Ecco alcuni motivi per cui è bene effettuare regolarmente una rotazione delle chiavi DKIM:

La rotazione regolare delle chiavi DKIM è un passo importante per garantire l’autenticità e l’affidabilità delle tue email e migliorare la loro consegna complessiva. Se non ricordi l’ultima volta in cui hai eseguito la rotazione delle chiavi DKIM, potrebbe essere opportuno farlo il prima possibile per mantenere la sicurezza e la consegna delle tue email.

BIMI, che sta per Brand Indicators for Message Identification, è un protocollo che consente ai mittenti di posta elettronica di autenticare il proprio dominio e di associare un logo della marca al proprio messaggio email. Ciò aiuta a garantire che le email vengano recapitate e che il mittente sia autenticato. BIMI ha quindi una stretta relazione con la cybersecurity in quanto aiuta a ridurre il rischio di phishing e di altri attacchi di spoofing delle email.

I certificati VMC (Valued-Added Certificate) utilizzati in BIMI aggiungono un ulteriore livello di sicurezza. Quando un mittente di posta elettronica ha un certificato VMC associato al proprio dominio, le email inviate con quel dominio sono firmate digitalmente e possono essere verificate da provider di posta elettronica o client di posta elettronica per autenticare l’identità del mittente.

Ciò significa che gli utenti finali possono essere sicuri che l’email proviene dalla società o dall’entità che possiede il certificato VMC, e non da un impostore che cerca di phishing. Inoltre, i provider di posta elettronica possono utilizzare il certificato VMC per verificare l’identità del mittente e mostrare agli utenti il logo registrato della società o dell’entità che ha il certificato, fornendo ulteriore trasparenza e sicurezza.

In generale, quindi, BIMI e i certificati VMC possono contribuire a migliorare la cybersecurity delle email, aumentando la fiducia degli utenti nell’autenticità delle email che ricevono e riducendo il rischio di cadere in trappole di phishing o altri attacchi di spoofing delle email.

Un certificato di posta elettronica, come il certificato VMC utilizzato in BIMI, fornisce un livello di protezione contro il phishing. Quando un mittente di posta elettronica ha un certificato VMC associato al proprio dominio, le email inviate con quel dominio sono firmate digitalmente e possono essere verificate da provider di posta elettronica o client di posta elettronica per autenticare l’identità del mittente.

Ciò significa che gli utenti finali possono essere sicuri che l’email proviene dalla società o dall’entità che possiede il certificato VMC, e non da un impostore che cerca di phishing. Inoltre, i provider di posta elettronica possono utilizzare il certificato VMC per verificare l’identità del mittente e mostrare agli utenti il logo registrato della società o dell’entità che ha il certificato, fornendo ulteriore trasparenza e sicurezza.

È essenziale comprendere quali sono i diversi tipi di messaggi di errore restituiti dai server di posta.
Nel caso del’SPF, eccoli elencati:

None: significa che non esiste alcun record SPF nel dominio.
Neutral: i messaggi SPF neutri vengono inviati quando il proprietario del dominio non vuole affermare che gli indirizzi IP di invio sono autorizzati. Il punto è evidente dal fatto che il record SPF utilizza un tag di chiusura “?all”. È quasi simile a una situazione in cui non esiste un record SPF.
Pass: l’indirizzo IP di invio è autorizzato a inviare e-mail dal dominio.
Fail: i messaggi di errore SPF vengono inviati quando l’indirizzo IP di invio NON è autorizzato a inviare dal dominio.
Softfail: il mittente è autorizzato o non autorizzato a inviare e-mail dal dominio.
Temperror: questo potrebbe essere un errore che potrebbe essersi verificato a causa di alcuni problemi temporanei come il timeout DNS o altri problemi simili durante il processo di convalida SPF. Ciò non significa che il record SPF non sia valido, non trovato o che non abbia superato il processo di controllo del record SPF. Non c’è motivo di preoccuparsi se si riceve il carattere SPF da un solo server di posta. Ma se inizi a ricevere tali messaggi in modo coerente, devi ricontrollare il tuo record SPF.
Permerror: i server di posta inviano questi messaggi SPF permerror quando non sono stati in grado di verificare correttamente i record SPF. Di solito, questi errori sono causati da errori di battitura o errori di sintassi.

Se vogliamo abilitare BIMI con relativo marchio esclusivamente per un sottodominio, è comunque necessario avere una politica DMARC corretta anche per il dominio principale.
BIMI richiede che il dominio di primo livello registrato sia coperto, come il sottodominio da una politica di reject DMARC o di quarantine al 100%.

Se infatti utilizzaimo il tool https://bimigroup.org/bimi-generator/ e interroghiamo ad esempio il sottodominio noreply.amazon.com, vedremo restituita in automatico l’analisi DMARC anche in relazione al dominio prioncipale:

BIMI sta per Brand Indicators for Message Identification.

Questo nuovo standard consente alle aziende di fare visualizzare il logo del proprio marchio registrtato sulle e-mail autenticate DMARC.

Grazie all’utilizzo di un Certificato VMC (Verified Mark Certificates). BIMI con VMC aiuta a distinguere la vostra comunicazione nella posta in arrivo e ha dimostrato di essere in grado di migliorare l’interazione dei consumatori e la fiducia nelle email ricevute.

Inanzitutto, secondo RFC 7208 Sezione 3.3, un singolo record SPF può superare i 255 caratteri, ma una singola stringa non può.
Detto questo, può capitare di avere dei record txt, nel nostro caso record SPF, che necessitano di una lunghezza maggiore di 255 caratteri.
In questo caso la soluzione più robusta, che permette di ottenere risposte corrette alle interrogazioni DNS, come ad esempio utilizzando dig, è di usare la direttiva include.
Altre soluzioni, come quella che permettono di utilizzare alcuni provider DNS, e cioè di creare più stringhe, o stringhe auto gestite che vanno oltre i 255 caratteri, possono come detto ritornare errori nel caso di interrogazioni.

Per cui, se dobbiamo inserire un record che va oltre i 255 caratteri possiamo fare come segue, utilizzando la direttiva include e creando un record txt aggiuntivo per ciascun include:
Una volta creato il primo record per la zona @, aggiungeremo gli altri, rimanendo nei limiti:

@ “v=spf1 include:amazonses.com include:spf.protection.outlook.com include:spf1.bimilogo.it include:spf2.bimilogo.it.com -all”
spf1.bimilogo.it “v=spf1 ip4:8.8.8.8 ip4:1.1.1.1 -all”
spf2.bimilogo.it “v=spf1 ip4:1.2.3.4 ip4:4.4.4.4 ip4:4.3.2.1 -all”

Il documento contenente le direttive per l’implementazione di BIMI (Brand Indicators for Message Identification) e l’ottenimento di certificati VMC, è stato pubblicato dallo IETF, l’Internet Engineering Task Force, che è l’organismo che definisce i protocolli Internet operativi standard come TCP/IP.
Questo il link: https://datatracker.ietf.org/doc/html/draft-brotman-ietf-bimi-guidance

Ad oggi, le linee guida di implementazione di certificati VMC indicano i seguenti uffici di proprietà intellettuale:

• European Union Intellectual Property Office,
• United States Patent and Trademark Office (USPTO),
• Canadian Intellectual Property Office,
• UK Intellectual Property Office,
• Deutsches Patent- und Markenamt,
• Japan Trademark Office,
• Spanish Patent and Trademark Office O.A.,
• IP Australia.
• Intellectual Property India
• Korean Intellectual Property Office
• Instituto Nacional da Propriedade Industrial

Per abilitare DKIM per un sottodominio, analogamente a quanto accade per i domini principali, è necessario creare una coppia di chiavi privata/pubblica per DKIM, salvare la chiave privata sul server di invio e pubblicare la chiave pubblica sul sottodominio nel DNS in modo che diventi accessibile al server ricevente.

Prima che un messaggio di posta elettronica lasci il server di invio, il server utilizza la chiave privata per generare una firma e inserirla nel messaggio insieme al selettore DKIM utilizzato per la firma.

Dopo che il server ricevente ha ricevuto il messaggio, estrae il sottodominio e il selettore DKIM dal messaggio, li utilizza per recuperare la chiave pubblica dal DNS, quindi esegue la verifica DKIM come nello scenario del dominio.

BIMI permette ai possessori di dominio una coordinazione con i provider delle caselle di posta (MBP), i client di posta elettronica (MUA) e il programma che riceve le email del client (MTA) nella visualizzazione di indicatori specifici del brand accanto ai messaggi correttamente autenticati.

Quando viene consegnato un messaggio, il servizio email del destinatario ricerca il file di testo BIMI per verificare l’autenticità de mittente del messaggio. Questo record contiene un URL che indirizza a un logo, di cui a breve mostreremo quali sono i requisiti richiesti. Un provider di posta controllerà la policy DMARC del dominio di invio e si accerterà che sia inclusa nella convalida BIMI. Se entrambi i check risultano positivi, il servizio di posta elettronica sarà abilitato all’inserimento di quel logo a fianco del messaggio nella posta in arrivo del destinatario.

Facciamo subito un esempio pratico e significativo.

L’ufficio acquisti riceve una email dal proprio CFO, che fornisce istruzioni per pagare urgentemente, tanto per cambiare, il fornitore indicato, per una somma di 250.000€. All’interno dell’email è presente anche l’IBAN su cui effettuare il versamento. Il pagamento viene effettuato come da indicazioni. Qualche tempo dopo la brutta sorpresa, l’email era fraudolenta, non inviata dal CFO. Ma il pagamento è stato purtroppo reale.

Questo è il whaling, o whale phishing, cioè una tecnica di cyber attacco che si serve delle email dei dirigenti e vertici aziendali, come ad esempio il CEO, CFO, CIO o qualunque profio abbia poteri decisionali o che siano in possesso di informazioni riservate.

Il fine del whaling è di indurre il destinatario a credere di essere stato davvero contattato da una figura importante dell’azienda, e di fargli compiere azioni a vantaggio di chi commette il crimine informatico. Come nell’esempio iniziale.

Il servizio BIMI Logo, da uno strumento importante, tramite l’implementazione di BIMI, utile a proteggersi da attacchi di questo tipo.

L’autenticazione delle email svolge un compito essenziale nella deliverability perchè rassicura gli ISP (Internet Service Provider) su chi è il mittente di un email. Potendo dimostrare la propria legittimità come sender di un messaggio, un’azienda non deve temere i filtri antispam dei providers. Così i messaggi inviati giungono a destinazione e anche gli utenti stessi sono più tutelati, al sicuro da truffe e raggiri online veicolati via email (per esempio il phishing), che per ingannare gli utenti falsificano il mittente.

BIMI funziona insieme a SPF, DMARC e DKIM per dimostrare ai client di posta elettronica che tu… sei davvero tu e non un ignoto truffatore.

In attesa che sia ultimato il progetto pilota di Gmail per supportare BIMI, con cui permetterà alle organizzazioni che verificano le loro email con DMARC di confermare la proprietà dei loro loghi aziendali e di trasmetterli in modo sicuro a Google, ci sono nuovi documenti ufficiali postati dal BIMI Working Group che dovresti conoscere se desideri utilizzare BIMI per le tue email. Nella bozza IETF (ultimo aggiornamento: 31 luglio 2020) vengono mostrati i requisiti necessari ai mittenti che vogliono sfruttare BIMI:

1) Ogni email deve essere autenticata con SPF e DKIM.

2) Ai mittenti è richiesta una policy DMARC robusta. Robusta sta per “p=reject” o “p=quarantine”, quindi da evitare “p = none” o “pct<100”.

Da notare che il requisito è sul dominio dell’organizzazione, non sui sottodomini, ossia: se utilizzo un sottodominio come indirizzo del mittente (per esempio: bimilogo@news.bimilogo.it), l’applicazione dovrebbe essere su bimilogo.it e non solo su quel particolare sottodominio. Perciò creare la policy solo sul sottodominio non basta per far visualizzare il tuo logo.

3) Le immagini compatibili con BIMI richiedono una forma quadrata, con un colore per lo sfondo a tinta unita, salvate nel formato SVG (Scaled Vector Graphic) e sono soggette alle limitazioni definite nel SVG Tiny Portable/Secure profile. Su Valimail è disponibile un breve tutorial su come creare loghi compatibili con BIMI mediante l’utilizzo di immagini SVG.

4) Ai brand verrà richiesto di ottenere una certificazione digitale che dimostri l’autenticità/proprietà del brand (VMC–Verified Mark Certificate) per visualizzare un logo BIMI. Per fare ciò occorre:

a) registrare il logo presso l’ufficio marchi nazionale (trademark office)

b) contattare una delle autorità di certificazione qualificate BIMI. 

5) I record BIMI vanno pubblicati correttamente nel DNS

Se stai già utilizzando SPF, DKIM e DMARC nel tuo programma di posta elettronica, perché dovresti aver bisogno di BIMI?

 BIMI aggiunge un ulteriore strumento all’autenticazione del mittente e perciò può aiutarti a migliorare la deliverability dei tuoi invii. Avendo a disposizione un’autenticazione più forte, gli utenti e i sistemi di security dei provider hanno maggiore fiducia nella fonte delle email.

D’altra parte, le aziende e i brand che usano BIMI proteggono la propria reputazione, prevenendo un utilizzo fraudolento dei loro IP. 

La più rivoluzionaria innovazione di BIMI è che garantisce un impatto visivo subito nella inbox: gli utenti che ricevono le tue email verificate vedono subito a fianco del al tuo nome mittente il tuo logo, così possono velocemente riconoscere i tuoi messaggi ed avere la certezza che provengono da te. Ciò garantisce una migliore esperienza del cliente, un elemento fondamentale per fortificare la relazione brand-cliente.