BIMI Nedir? Marka Logonuzu Gelen Kutusunda Gösterme

BIMI (Brand Indicators for Message Identification), doğru yapılandırıldığında marka logonuzun alıcının gelen kutusunda gönderen adının yanında görüntülenmesini sağlayan bir standarttır. Amacı çift yönlüdür: alıcı, maili açmadan önce logonuzu görerek gönderenin gerçekten siz olduğunuzu anlar (görsel güven) ve sahtekârlar aynı logoyu gösteremez. BIMI kendi başına bir güvenlik katmanı değildir; zaten kurulu ve uygulama modunda olan bir DMARC yapısının üzerine oturan bir görsel ödüldür. Yani ön koşulları sağlamadan yalnızca BIMI kaydı eklemek işe yaramaz.

BIMI nasıl çalışır?

Alıcı e-posta sağlayıcısı (Gmail, Yahoo, Apple Mail vb.) bir mail aldığında önce kimlik doğrulamayı denetler. Kimlik doğrulama geçtiyse ve alan adınızın DMARC politikası uygulama (enforcement) modundaysa, sağlayıcı alan adınızdaki default._bimi TXT kaydını sorgular, oradaki adresten logonuzu (ve varsa sertifikanızı) çeker ve logoyu gösterir. Zincirin herhangi bir halkası eksikse logo gösterilmez.

Bu tasarımın mantığı basittir: bir sahtekâr sizin adınıza mail atmaya çalıştığında DMARC kimlik doğrulamasını geçemez, dolayısıyla BIMI logosu da asla gösterilmez. Böylece logo, alıcı için "bu mail gerçekten bu markadan geldi" anlamına gelen doğrulanmış bir işaret hâline gelir. Türkiye'deki alıcıların da giderek daha bilinçli olduğu bir ortamda, tanıdık bir logonun gelen kutusunda belirmesi phishing kaygısını azaltır ve markaya duyulan güveni pekiştirir.

BIMI ön koşulları

Logonuzun görünmesi için aşağıdakilerin tamamı gereklidir:

• DMARC uygulama modunda: Alan adınızın DMARC politikası p=quarantine veya p=reject olmalıdır; p=none BIMI için yeterli değildir. Genelde pct=100 beklenir. Bu da öncesinde çalışan SPF, DKIM ve DMARC kurulumunu şart koşar.
• SVG Tiny PS logo: Logonuz SVG Tiny Portable/Secure (SVG P/S) formatında olmalıdır — normal SVG, PNG veya JPG kabul edilmez. Tercihen kare (1:1) oranında ve merkezlenmiş olmalıdır.
• Genel erişime açık HTTPS barındırma: Hem SVG logo hem de sertifika, herkesin erişebileceği bir HTTPS adresinde yayınlanmalıdır.
• DNS TXT kaydı: default._bimi alt alanında bir TXT kaydı yayınlanır.
• VMC/CMC sertifikası (bazı sağlayıcılar için): Gmail ve Apple Mail gibi bazı sağlayıcılar logoyu göstermek için doğrulanmış bir sertifika ister. VMC (Verified Mark Certificate) tescilli bir marka gerektirir; tescilsiz veya farklı logolar için CMC (Common Mark Certificate) alternatifi vardır. Bu sertifikalar DigiCert veya Entrust gibi yetkili otoritelerce verilir ve yıllık bir ücrete tabidir.

BIMI kaydının yapısı

DNS'e eklenen kayıt sade bir TXT kaydıdır:

Tür: TXT   Ad: default._bimi
Değer: v=BIMI1; l=https://alanadiniz.com/bimi/logo.svg; a=https://alanadiniz.com/bimi/vmc.pem

Etiketlerin anlamı:

• v=BIMI1 — sürüm; zorunlu.
• l= — SVG Tiny PS logonuzun HTTPS adresi (location).
• a= — VMC/CMC sertifikanızın (PEM) HTTPS adresi (authority). Sertifika istemeyen sağlayıcılar için bu alan boş bırakılabilir, ancak Gmail/Apple için gereklidir.

Kurulum adımları

1. DMARC'ı uygulama moduna taşıyın. Politikanızı p=none'dan kademeli olarak p=quarantine ve mümkünse p=reject'e (genelde pct=100) yükseltin. Bu, BIMI'nin en kritik ve çoğu markanın takıldığı ön koşuludur.
2. Logoyu SVG Tiny PS'e dönüştürün. Marka logonuzu kare oranında, SVG P/S profiline uygun şekilde hazırlayın; komut dosyası, harici bağlantı ve gömülü raster içermemelidir.
3. Gerekiyorsa VMC/CMC sertifikası alın. Gmail ve Apple Mail'de logo göstermek istiyorsanız DigiCert veya Entrust üzerinden başvurun; VMC için markanızın tescilli olması gerekir.
4. Dosyaları HTTPS'te yayınlayın. SVG logoyu ve PEM sertifikayı genel erişime açık, geçerli sertifikalı bir HTTPS adresinde barındırın.
5. default._bimi TXT kaydını ekleyin. l= ve (varsa) a= etiketleriyle DNS kaydını yayınlayın.
6. Doğrulayın ve bekleyin. Bir BIMI denetleyicisiyle kaydı test edin, DNS yayılmasını bekleyin ve kendi kutunuza test maili göndererek logonun göründüğünü teyit edin.

VMC ile CMC arasındaki fark

Sertifika ihtiyacı çoğu markanın en çok kafasını karıştıran konudur. İki seçenek vardır:

• VMC (Verified Mark Certificate): Yalnızca resmî olarak tescil edilmiş markalar için verilir. Logonuzun ilgili marka ofisinde (örneğin Türkiye'de TÜRKPATENT) tescilli olması gerekir. Gmail ve Apple Mail bu doğrulamayı arar.
• CMC (Common Mark Certificate): Marka tesciliniz yoksa veya tescilliden farklı bir logo (örneğin bir bayrak, ikon veya stilize amblem) kullanmak istiyorsanız devreye giren daha esnek bir sertifikadır. Tescil zorunluluğu olmadığından daha geniş bir kullanım alanı sunar.

Her iki sertifika da DigiCert veya Entrust gibi yetkili otoritelerce, kimlik ve logo doğrulaması yapıldıktan sonra yıllık olarak düzenlenir. Sertifika almadan da BIMI kaydı yayınlayabilirsiniz; bu durumda logo yalnızca sertifika istemeyen sağlayıcılarda görünebilir, Gmail ve Apple gibi büyük kutularda görünmez.

Faydaları ve sınırları

BIMI'nin marka bilinirliğini artırdığı, gönderene duyulan güveni pekiştirdiği ve dolaylı olarak açılma eğilimini desteklediği kabul edilir. Ancak beklentileri gerçekçi tutmak gerekir:

• Her sağlayıcı desteklemez ve destekleyenlerin gösterim koşulları farklıdır; logo garantili değildir.
• Sertifika maliyeti vardır; VMC yıllık ücrete ve marka tesciline bağlıdır.
• BIMI bir teslimat aracı değildir — spam'e düşen bir mail logo yüzünden gelen kutusuna çıkmaz. Asıl belirleyici hâlâ gönderen itibarınız ve genel teslim edilebilirlik pratiklerinizdir.

Özetle BIMI, sağlam bir kimlik doğrulama altyapısının görünür meyvesidir. SenderTR, gönderim alan adınız için SPF/DKIM/DMARC kayıtlarını üretip tek tıkla doğrular ve DMARC'ı güvenle p=none'dan uygulama moduna (quarantine/reject) taşımanızda size rehberlik eder — böylece BIMI logonuzu gösterebilmenin en zor ön koşulunu sorunsuz tamamlar, ardından default._bimi kaydınızı ekleyerek markanızı gelen kutusunda görünür kılarsınız.