BIMI : Brand Indicators for Message Identification
Réseau
BIMI : Brand Indicators for Message Identification. « Le dispositif qui récompense d'un logo la marque ayant prouvé que ses courriels viennent bien d'elle », par analogie avec la médaille de bonne conduite, décernée seulement à ceux qui ont d'abord accepté d'être surveillés.
Principe : Le domaine publie dans le DNS un enregistrement TXT (sous default._bimi.domaine) qui indique l'adresse du logo, au format SVG (Scalable Vector Graphics) restreint. Les messageries compatibles affichent ce logo à côté des messages authentifiés du domaine.
Prérequis : Une politique DMARC appliquée, quarantine ou reject : un domaine resté en p=none n'y a pas droit. Plusieurs messageries, dont Gmail, exigent en plus un certificat de marque qui atteste la propriété du logo, le plus connu étant le VMC (Verified Mark Certificate), qui suppose en général une marque déposée.
Ce qu'il n'est pas : Ni une protection en soi, ni une preuve de bonne foi du contenu : BIMI ne fait qu'afficher le résultat d'une authentification déjà obtenue par SPF, DKIM et DMARC. Son véritable intérêt de sécurité est de servir de carotte pour pousser les marques vers une politique DMARC stricte, ce que des années d'arguments techniques avaient eu du mal à obtenir.
Ce qui arrive si on s'en passe
Sans BIMI, rien de grave en soi : les messages arrivent, sans logo. Le vrai problème est en amont : un domaine qui ne peut pas prétendre à BIMI est en général un domaine resté en DMARC p=none, donc un domaine qu'un fraudeur peut usurper sans que les messageries le rejettent. L'absence du logo n'est que le symptôme visible d'une porte restée ouverte, et c'est la porte qui coûte cher.
Explication de la marmotte
Certaines messageries affichent le logo d'une entreprise à côté de ses courriels, comme une petite photo de profil. Pour y avoir droit, l'entreprise doit d'abord prouver que ses messages viennent vraiment d'elle, grâce à des réglages techniques qui empêchent les imposteurs d'envoyer des courriels en son nom. Le logo est donc une sorte de récompense : il n'apparaît que si la protection contre l'usurpation est bien en place.
Où ce terme est utilisé
- Déployer DMARC de observation à reject (1 occurrence)