BIMI Nedir? Marka Logonuzu Gelen Kutusunda Gösterme

BIMI (Brand Indicators for Message Identification), doğru yapılandırıldığında marka logonuzun alıcının gelen kutusunda gönderen adının yanında görüntülenmesini sağlayan bir standarttır. Amacı çift yönlüdür: alıcı, maili açmadan önce logonuzu görerek gönderenin gerçekten siz olduğunuzu anlar (görsel güven) ve sahtekârlar aynı logoyu gösteremez. BIMI kendi başına bir güvenlik katmanı değildir; zaten kurulu ve uygulama modunda olan bir DMARC yapısının üzerine oturan bir görsel ödüldür. Yani ön koşulları sağlamadan yalnızca BIMI kaydı eklemek işe yaramaz.

BIMI nasıl çalışır?

Alıcı e-posta sağlayıcısı (Gmail, Yahoo, Apple Mail vb.) bir mail aldığında önce kimlik doğrulamayı denetler. Kimlik doğrulama geçtiyse ve alan adınızın DMARC politikası uygulama (enforcement) modundaysa, sağlayıcı alan adınızdaki default._bimi TXT kaydını sorgular, oradaki adresten logonuzu (ve varsa sertifikanızı) çeker ve logoyu gösterir. Zincirin herhangi bir halkası eksikse logo gösterilmez.

Bu tasarımın mantığı basittir: bir sahtekâr sizin adınıza mail atmaya çalıştığında DMARC kimlik doğrulamasını geçemez, dolayısıyla BIMI logosu da asla gösterilmez. Böylece logo, alıcı için "bu mail gerçekten bu markadan geldi" anlamına gelen doğrulanmış bir işaret hâline gelir. Türkiye'deki alıcıların da giderek daha bilinçli olduğu bir ortamda, tanıdık bir logonun gelen kutusunda belirmesi phishing kaygısını azaltır ve markaya duyulan güveni pekiştirir.

BIMI ön koşulları

Logonuzun görünmesi için aşağıdakilerin tamamı gereklidir:

• DMARC uygulama modunda: Alan adınızın DMARC politikası p=quarantine veya p=reject olmalıdır; p=none BIMI için yeterli değildir. Genelde pct=100 beklenir. Bu da öncesinde çalışan SPF, DKIM ve DMARC kurulumunu şart koşar.
• SVG Tiny PS logo: Logonuz SVG Tiny Portable/Secure (SVG P/S) formatında olmalıdır — normal SVG, PNG veya JPG kabul edilmez. Tercihen kare (1:1) oranında ve merkezlenmiş olmalıdır.
• Genel erişime açık HTTPS barındırma: Hem SVG logo hem de sertifika, herkesin erişebileceği bir HTTPS adresinde yayınlanmalıdır.
• DNS TXT kaydı: default._bimi alt alanında bir TXT kaydı yayınlanır.
• VMC/CMC sertifikası (bazı sağlayıcılar için): Gmail ve Apple Mail gibi bazı sağlayıcılar logoyu göstermek için doğrulanmış bir sertifika ister. VMC (Verified Mark Certificate) tescilli bir marka gerektirir; tescilsiz veya farklı logolar için CMC (Common Mark Certificate) alternatifi vardır. Bu sertifikalar DigiCert veya Entrust gibi yetkili otoritelerce verilir ve yıllık bir ücrete tabidir.

BIMI kaydının yapısı

DNS'e eklenen kayıt sade bir TXT kaydıdır:

Tür: TXT   Ad: default._bimi
Değer: v=BIMI1; l=https://alanadiniz.com/bimi/logo.svg; a=https://alanadiniz.com/bimi/vmc.pem

Etiketlerin anlamı:

• v=BIMI1 — sürüm; zorunlu.
• l= — SVG Tiny PS logonuzun HTTPS adresi (location).
• a= — VMC/CMC sertifikanızın (PEM) HTTPS adresi (authority). Sertifika istemeyen sağlayıcılar için bu alan boş bırakılabilir, ancak Gmail/Apple için gereklidir.

Kurulum adımları

1. DMARC'ı uygulama moduna taşıyın. Politikanızı p=none'dan kademeli olarak p=quarantine ve mümkünse p=reject'e (genelde pct=100) yükseltin. Bu, BIMI'nin en kritik ve çoğu markanın takıldığı ön koşuludur.
2. Logoyu SVG Tiny PS'e dönüştürün. Marka logonuzu kare oranında, SVG P/S profiline uygun şekilde hazırlayın; komut dosyası, harici bağlantı ve gömülü raster içermemelidir.
3. Gerekiyorsa VMC/CMC sertifikası alın. Gmail ve Apple Mail'de logo göstermek istiyorsanız DigiCert veya Entrust üzerinden başvurun; VMC için markanızın tescilli olması gerekir.
4. Dosyaları HTTPS'te yayınlayın. SVG logoyu ve PEM sertifikayı genel erişime açık, geçerli sertifikalı bir HTTPS adresinde barındırın.
5. default._bimi TXT kaydını ekleyin. l= ve (varsa) a= etiketleriyle DNS kaydını yayınlayın.
6. Doğrulayın ve bekleyin. Bir BIMI denetleyicisiyle kaydı test edin, DNS yayılmasını bekleyin ve kendi kutunuza test maili göndererek logonun göründüğünü teyit edin.

VMC ile CMC arasındaki fark

Sertifika ihtiyacı çoğu markanın en çok kafasını karıştıran konudur. İki seçenek vardır:

• VMC (Verified Mark Certificate): Yalnızca resmî olarak tescil edilmiş markalar için verilir. Logonuzun ilgili marka ofisinde (örneğin Türkiye'de TÜRKPATENT) tescilli olması gerekir. Gmail ve Apple Mail bu doğrulamayı arar.
• CMC (Common Mark Certificate): Marka tesciliniz yoksa veya tescilliden farklı bir logo (örneğin bir bayrak, ikon veya stilize amblem) kullanmak istiyorsanız devreye giren daha esnek bir sertifikadır. Tescil zorunluluğu olmadığından daha geniş bir kullanım alanı sunar.

Her iki sertifika da DigiCert veya Entrust gibi yetkili otoritelerce, kimlik ve logo doğrulaması yapıldıktan sonra yıllık olarak düzenlenir. Sertifika almadan da BIMI kaydı yayınlayabilirsiniz; bu durumda logo yalnızca sertifika istemeyen sağlayıcılarda görünebilir, Gmail ve Apple gibi büyük kutularda görünmez.

Faydaları ve sınırları

BIMI'nin marka bilinirliğini artırdığı, gönderene duyulan güveni pekiştirdiği ve dolaylı olarak açılma eğilimini desteklediği kabul edilir. Ancak beklentileri gerçekçi tutmak gerekir:

• Her sağlayıcı desteklemez ve destekleyenlerin gösterim koşulları farklıdır; logo garantili değildir.
• Sertifika maliyeti vardır; VMC yıllık ücrete ve marka tesciline bağlıdır.
• BIMI bir teslimat aracı değildir — spam'e düşen bir mail logo yüzünden gelen kutusuna çıkmaz. Asıl belirleyici hâlâ gönderen itibarınız ve genel teslim edilebilirlik pratiklerinizdir.

Özetle BIMI, sağlam bir kimlik doğrulama altyapısının görünür meyvesidir. SenderTR, gönderim alan adınız için SPF/DKIM/DMARC kayıtlarını üretip tek tıkla doğrular ve DMARC'ı güvenle p=none'dan uygulama moduna (quarantine/reject) taşımanızda size rehberlik eder — böylece BIMI logonuzu gösterebilmenin en zor ön koşulunu sorunsuz tamamlar, ardından default._bimi kaydınızı ekleyerek markanızı gelen kutusunda görünür kılarsınız.

Gönderen alan adını kurulumdan önce eşleştirin

BIMI kaydını eklemeden önce alıcıya görünen gönderen adresindeki alan adını belirleyin. Kurumsal alan adınız ile kampanya gönderimlerinde kullandığınız alt alan adı farklıysa, kaydı hangi alan adı için hazırladığınızı açıkça not edin. Yalnızca internet sitenizin alan adına bakarak karar vermek, kaydın e-posta gönderiminde kullanılan alan adından farklı bir yerde yayınlanmasına yol açabilir.

Ardından bu adresten e-posta gönderen kaynakları listeleyin: pazarlama iletileri, işlem bildirimleri ve kurum içinden gönderilen mesajlar aynı alan adını kullanıyor olabilir. Her kaynağın kimlik doğrulama sonucunu ayrı ayrı inceleyin. Böylece bir gönderim türünde çalışan yapının diğerinde de çalıştığını varsaymamış olursunuz. Listeyi alan adı kayıtlarını yöneten kişiyle paylaşmak, kurulum sırasında yanlış alana kayıt eklenmesi riskini azaltır.

Logo görünmüyorsa sorunu nerede aramalısınız?

Bir deneme e-postasında logo görünmediğinde önce iletinin gerçekten hedeflediğiniz gönderen alan adından çıktığını kontrol edin. Ardından iletinin teknik ayrıntılarındaki kimlik doğrulama sonucuna bakın. Gönderen adresi ile doğrulanan alan adı uyuşmuyorsa, yalnızca logo dosyasını değiştirmek sorunu çözmez.

Kimlik doğrulama uygunsa alan adı kaydını sorgulayın. Kaydın beklediğiniz yerde bulunduğundan ve logo ile sertifika adreslerinin yazımında hata olmadığından emin olun. Sonra bu adresleri oturum açmadan, ayrı bir tarayıcı penceresinde açmayı deneyin. Dosyanın doğrudan erişilebilir olması önemlidir; yalnızca site yönetim ekranından açılabiliyor olması yeterli değildir. Kayıt ve dosyalar doğru görünse bile farklı e-posta uygulamalarında aynı sonucu beklemeyin. Sorunu araştırırken hangi uygulamada, hangi gönderen adresiyle ve hangi logoyla deneme yaptığınızı kaydedin; böylece değişikliklerin etkisini karşılaştırabilirsiniz.

Kurulumdan sonra bakım planı oluşturun

BIMI kurulumu tamamlandıktan sonra logo dosyasının ve varsa sertifikanın sorumluluğunu belirleyin. Marka yenilemesi sırasında eski logonun bulunduğu adres kaldırılırsa alan adı kaydı artık geçersiz bir dosyaya işaret edebilir. Bu nedenle logo değiştirilmeden önce yeni dosyayı yayınlayın, erişimini kontrol edin ve ardından kaydı güncelleyin.

Sertifika kullanıyorsanız geçerlilik durumunu izleme görevini de bir kişiye atayın. Sertifika veya logo değişikliğinde yalnızca dosyayı yenilemekle yetinmeyin; alan adı kaydındaki adresin güncel dosyayı gösterdiğini yeniden denetleyin. Gönderim alan adları değiştiğinde de aynı kontrolü tekrarlayın. Yapılan değişiklikleri ve deneme sonuçlarını kısa bir kayıt altında tutmak, logo daha sonra görünmezse sorunun hangi değişiklikten kaynaklanabileceğini bulmayı kolaylaştırır.