BIMI Checker

Cosa fa questo strumento

Il BIMI Checker esegue quattro operazioni concatenate sul dominio inserito:

• Lookup DNS su default._bimi.<dominio> per recuperare il record TXT e rilevare duplicati o un CNAME vietato.
• Download e validazione del logo SVG puntato dal tag l=: formato, conformità al profilo SVG Tiny-PS (RFC 9043), viewBox quadrato, dimensione ragionevole.
• Download e parsing del VMC puntato dal tag a=: autorità emittente, validità, presenza del trustmark BIMI, scadenza.
• Lookup DMARC su _dmarc.<dominio> per verificare il prerequisito stretto (p=quarantine o p=reject con pct=100).

Il risultato aggrega i finding in un punteggio 0 a 100, sei dimensioni, raccomandazioni ordinate per priorità e una scheda VMC compatta.

Come funziona BIMI

BIMI (Brand Indicators for Message Identification, RFC 9043) consente a un dominio di associare il proprio logo ufficiale ai messaggi che invia. Tre componenti devono allinearsi:

1. Un record DNS TXT pubblicato su default._bimi.<dominio> nel formato v=BIMI1; l=<url_logo_svg>; a=<url_vmc> (il tag a= è opzionale secondo la specifica ma richiesto in pratica).
2. Un logo SVG conforme al profilo Tiny-PS: viewBox quadrato, niente script, niente riferimenti esterni, niente font incorporati non autorizzati.
3. Un certificato VMC o CMC (Verified Mark Certificate o Common Mark Certificate) emesso da DigiCert o Entrust, firmato da una CA mark riconosciuta, contenente un OID "BIMI Indicator Trustmark".

Il prerequisito non negoziabile: la policy DMARC del dominio deve essere p=quarantine o p=reject con pct=100. Con p=none o un pct parziale, Gmail, Apple Mail e Yahoo non mostrano il logo, qualunque sia la qualità del record BIMI.

L'alignment DKIM o SPF (a seconda del modo adkim o aspf) resta necessario all'invio affinché i messaggi superino DMARC e attivino la visualizzazione del logo.

Quando usare il BIMI Checker

• Dopo la pubblicazione DNS per confermare che il record è propagato e leggibile dai destinatari.
• Quando il logo non viene visualizzato in Gmail, Apple Mail o Yahoo nonostante un deployment apparentemente completo.
• Prima del rinnovo annuale del VMC per misurare il tempo residuo e pianificare l'ordine presso la CA.
• Audit di brand su un dominio secondario (sottodominio marketing, dominio di filiale) prima della pubblicazione.
• Verifica della catena completa (record, logo, VMC, DMARC) in caso di migrazione del fornitore di logo o dell'autorità di certificazione.

Le sei dimensioni del punteggio

Un record sintatticamente invalido limita il punteggio a 30. Una policy DMARC su p=none lo limita anch'essa a 30 e forza il verdetto critical: la catena BIMI è tecnicamente pubblicata ma inoperante.

Diagnosi comuni e soluzioni

Record assente

Lo strumento non ha trovato alcun TXT su default._bimi.<dominio>. Crea il record con almeno v=BIMI1; l=https://captaindns.com/bimi/logo.svg. Pubblica in DNS e attendi il tempo di propagazione.

DMARC troppo morbido

Lo strumento rileva p=none o un pct inferiore a 100. BIMI è inoperante su Gmail, Apple Mail e Yahoo. Rafforza la policy DMARC, idealmente verso p=reject; pct=100, dopo una fase di osservazione con i report rua.

VMC mancante

Il tag a= è assente dal record mentre l= è presente. I renderer moderni richiedono un VMC per visualizzare il logo. Ordina un VMC presso DigiCert o Entrust (calcola da 1000 a 1500 USD all'anno e 2 a 4 settimane di verifica), ospita il PEM in HTTPS e aggiungi a=<url> al record.

Logo non conforme

L'SVG scaricato contiene elementi vietati (script, foreignObject, riferimenti esterni, viewBox non quadrato). Usa il BIMI Validator per identificare ogni elemento da correggere, quindi ripubblica l'SVG ripulito.

VMC in scadenza

Il certificato valido scade tra meno di 60 giorni. Pianifica il rinnovo presso la CA in anticipo. Un VMC scaduto interrompe immediatamente la visualizzazione del logo, senza alcun avviso lato webmail.

Limitazioni e note tecniche

• Cache logo lato webmail: una modifica del logo può richiedere diversi giorni per apparire ai destinatari. Non è un bug BIMI ma un comportamento di cache.
• Selector: la specifica consente selettori diversi da default tramite l'header BIMI-Selector. Questo strumento interroga default._bimi.<dominio>, che copre la quasi totalità dei deployment.
• CMC versus VMC: i Common Mark Certificate (marchi non registrati) sono supportati solo da alcuni webmail. Il VMC resta il riferimento per Gmail e Yahoo.
• Firma DKIM: il tag a= del record BIMI designa il VMC, non una chiave DKIM. Non confondere questi due componenti.
• Apple Mail visualizza il logo BIMI anche senza VMC quando DMARC è stretto, contrariamente a Gmail e Yahoo.

Strumenti complementari

Domande frequenti

D: Perché il mio logo BIMI non viene visualizzato?

R: Cinque cause comuni: la policy DMARC è p=none o il pct è inferiore a 100, il certificato VMC è assente o scaduto, il logo SVG non è conforme al profilo Tiny-PS (script, riferimenti esterni, viewBox non quadrato), l'URL del logo non è accessibile via HTTPS, oppure il record BIMI non è pubblicato su default._bimi.<dominio>. Il BIMI Checker diagnostica ciascuno di questi punti.

D: Qual è la differenza tra BIMI Checker e BIMI Validator?

R: Il Checker interroga il DNS per analizzare il record pubblicato sul tuo dominio, scarica il logo e il VMC, verifica DMARC. Il Validator analizza la sintassi di un record che incolli prima della pubblicazione. Flusso consigliato: Validator prima della pubblicazione, Checker dopo.

D: Cosa significa il punteggio 0 a 100?

R: Il punteggio misura il BIMI-readiness del dominio, ovvero la probabilità che il logo venga visualizzato in Gmail, Apple Mail e Yahoo. 90 a 100 = inbox-ready. 75 a 89 = configurazione corretta con aggiustamenti minori. 50 a 74 = blocchi da risolvere (VMC mancante, DMARC non stretto). Sotto 50 o stato invalido = critical.

D: Quali sono le sei dimensioni valutate?

R: Record (presenza DNS, 20 punti), sintassi (record analizzabile, 15 punti), DMARC stretto (p=quarantine o p=reject con pct=100, 20 punti), logo (SVG Tiny-PS conforme, 20 punti), VMC (certificato valido non scaduto con trustmark, 15 punti), igiene (URL ragionevoli, sha256, alignment, 10 punti).

D: Il VMC è obbligatorio per BIMI?

R: L'RFC 9043 non lo impone, ma Gmail e Yahoo si rifiutano di mostrare il logo senza un Verified Mark Certificate valido. Apple Mail tollera un deployment senza VMC. Senza VMC, il logo resta invisibile per la maggior parte dei destinatari.

D: Cosa verifica lo strumento riguardo a DMARC?

R: Lo strumento esegue un lookup su _dmarc.<dominio>, legge la policy p, il pct, la policy sottodomini sp e i modi di alignment. Il prerequisito BIMI è p=quarantine o p=reject con pct=100. Qualsiasi valore inferiore limita il punteggio BIMI a 30 e attiva una raccomandazione critica.

D: Cosa significa 'logo non conforme Tiny-PS'?

R: Il logo SVG contiene elementi vietati dal profilo SVG Tiny PS definito dall'RFC 9043: script JavaScript, elementi foreignObject, riferimenti esterni (xlink:href verso un altro URL), font incorporati non autorizzati o viewBox non quadrato. Il BIMI Validator dettaglia ogni elemento da correggere.

D: Quanto tempo per vedere i cambiamenti BIMI?

R: Due ritardi si sommano: la propagazione DNS (1 a 4 ore con TTL 3600, 24 a 48 ore con TTL 86400) e la cache logo dei webmail (diverse ore a diversi giorni). Riduci il TTL prima di ogni modifica per accelerare la propagazione.

Risorse utili

• RFC 9043 - SVG Tiny Portable/Secure (SVG Tiny PS) (profilo SVG ufficiale per BIMI)
• RFC 7489 - DMARC (prerequisito DMARC stretto)
• Draft IETF Brand Indicators for Message Identification (specifica BIMI in fase di standardizzazione)
• BIMI Group (AuthIndicators Working Group, documentazione e draft in corso)
• DigiCert Verified Mark Certificates (CA mark per VMC)
• Entrust Verified Mark Certificates (CA mark per VMC)
• Requisiti BIMI Gmail (requisiti Google Workspace)