Логотип і blue check у Gmail
як BIMI допомагає підтвердити справжність бренду у корпоративній комунікації
Логотип і blue check у Gmail: як BIMI допомагає підтвердити справжність бренду у корпоративній комунікації
Фішинговий лист сьогодні може майже повністю копіювати комунікацію відомого бренду - від імені відправника до дизайну та змісту повідомлення.
Тому для компаній, які активно комунікують із клієнтами через email, питання захисту цифрової ідентичності бренду виходить далеко за межі реєстрації торговельної марки.
У статті розбираємо BIMI та сертифікати VMC/CMC: як підтвердити зв’язок між брендом, корпоративним доменом і логотипом, отримати відображення логотипа біля листів та, у випадку VMC, verified checkmark у Gmail. Окремо пояснюємо, що робити компаніям без зареєстрованої ТМ на логотип, коли може підійти CMC та як виглядає весь процес від перевірки прав на бренд і DMARC до отримання сертифіката та налаштування BIMI.
Для протидії підміні відправників та фішингу сформувалася багаторівнева система автентифікації електронної пошти, яка включає SPF, DKIM та DMARC. Наступним рівнем такої системи став BIMI (Brand Indicators for Message Identification) — стандарт, що дозволяє пов’язати автентифікований поштовий домен із логотипом бренду та відображати цей логотип біля електронних повідомлень у поштових сервісах, які підтримують BIMI.
Для підтвердження зв’язку між доменом, організацією та логотипом використовуються, зокрема, два види цифрових сертифікатів:
- VMC — Verified Mark Certificate;
- CMC — Common Mark Certificate.
Отримання такого сертифіката не зводиться до завантаження логотипа в Gmail або інший поштовий сервіс. Це процедура, що складається з перевірки поштового домену, налаштування DMARC, підготовки логотипа, підтвердження прав або тривалого використання позначення, перевірки заявника, отримання сертифіката та публікації BIMI-запису в DNS.
1. Як працює BIMI
BIMI функціонує поверх уже існуючих механізмів автентифікації електронної пошти.
SPF
SPF (Sender Policy Framework) дозволяє власнику домену визначити сервери та інші системи, яким дозволено надсилати електронні листи від його імені.
DKIM
DKIM (DomainKeys Identified Mail) додає до повідомлення криптографічний підпис, за допомогою якого поштовий сервер може перевірити його походження та цілісність.
DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) встановлює політику щодо повідомлень, які не проходять належну автентифікацію.
Для BIMI недостатньо мати DMARC із політикою моніторингу `p=none`.
Політика повинна бути встановлена на: `p=quarantine` або `p=reject`.
Вона також повинна застосовуватися до 100% повідомлень. Значення `pct` менше 100 не відповідає вимогам BIMI.
Офіційна покрокова інструкція Google щодо налаштування BIMI міститься на сайті.
2. Що таке CMC
Common Mark Certificate (CMC) — цифровий сертифікат, який дозволяє підтвердити логотип для використання в BIMI без обов'язкової наявності зареєстрованої торговельної марки. Це не означає, що для CMC можна використати будь-який щойно створений логотип.
Наприклад, DigiCert допускає CMC для Prior Use Mark — незареєстрованого позначення, яке використовувалося щонайменше протягом 12 місяців до дати перевірки. Таке використання повинно відбуватися на домені, який контролює заявник. Для перевірки історії використання логотипа DigiCert може використовувати вебархів Archive.org.
Отже, класична ситуація для CMC виглядає так:
зареєстрованої ТМ на логотип немає → логотип використовується 12+ місяців → використання можна підтвердити → можна перевіряти можливість CMC.
CMC також може застосовуватися в інших передбачених конкретним постачальником випадках, наприклад щодо модифікованої версії зареєстрованого позначення.
3. Що таке VMC
Verified Mark Certificate (VMC) — сертифікат, який передбачає формальніше підтвердження логотипа.
Для стандартного VMC логотип повинен бути зареєстрований як торговельна марка у відомстві інтелектуальної власності, яке визнається відповідним постачальником сертифіката.
Важливо, що перевіряється не просто факт наявності в компанії будь-якої торговельної марки.
Має значення відповідність конкретного логотипа, який буде використовуватися в BIMI, відповідному зареєстрованому позначенню.
Тому ситуація, коли компанія зареєструвала лише словесну назву бренду, але використовує окремий графічний логотип, потребує окремої перевірки.
VMC має ще одну важливу відмінність: у Gmail саме VMC може забезпечувати синю позначку підтвердженого відправника. CMC такої позначки не надає.
4. CMC чи VMC: що обрати
Варіант 1. Логотип зареєстрований як торговельна марка.
Перевіряється можливість отримання VMC.
Необхідно встановити:
- хто є власником ТМ;
- у якій країні або через яке відомство вона зареєстрована;
- чи визнає цю реєстрацію обраний постачальник VMC;
- чи відповідає зареєстроване зображення актуальному логотипу.
Варіант 2. Логотип не зареєстрований як ТМ, але використовується більше 12 місяців.
Перевіряється можливість отримання CMC.
Варіант 3. Логотип не зареєстрований і використовується менше 12 місяців.
Стандартний шлях через CMC на підставі prior use наразі не підходить. Необхідно або дочекатися необхідного строку використання, або аналізувати можливість реєстрації логотипа як торговельної марки для подальшого VMC.
5. Хто видає CMC та VMC
Сертифікати видаються Mark Verifying Authorities (MVA) — спеціалізованими центрами сертифікації.
На сьогодні BIMI Group публікує інформацію, зокрема, про таких постачальників:
- DigiCert;
- GlobalSign;
- SSL.com.
Актуальний перелік необхідно перевіряти безпосередньо перед поданням заявки на сторінці BIMI Group Mark Certificate Issuer Information.
Включення центру сертифікації до цього переліку саме по собі не означає, що його сертифікат буде прийматися абсолютно кожним поштовим сервісом. Кожен mailbox provider сам визначає, сертифікати яких MVA він приймає.
6. Що потрібно підготувати до початку процедури
До придбання CMC/VMC доцільно зібрати щонайменше:
1. повну юридичну назву заявника;
2. реєстраційні дані компанії;
3. корпоративний домен;
4. доступ до DNS або контакт особи, яка може змінювати DNS-записи;
5. перелік усіх сервісів, які надсилають пошту від імені домену;
6. інформацію про SPF, DKIM та DMARC;
7. актуальний логотип у векторному форматі;
8. для VMC — інформацію про торговельну марку;
9. для CMC — докази використання логотипа протягом необхідного строку;
10. дані уповноваженого представника компанії;
11. документи для підтвердження його особи, якщо вони будуть запитані центром сертифікації.
Після цього можна переходити до технічної перевірки.
7. Скільки це коштує
Сам стандарт BIMI не передбачає державного збору за створення DNS-запису.
Основні зовнішні витрати виникають саме на CMC/VMC та, за необхідності, реєстрацію торговельної марки, технічне налаштування пошти або підготовку SVG.
Наприклад, за опублікованими DigiCert тарифами вартість становить:
CMC — $1,416 за 12-місячну підписку;
VMC — $1,752 за 12-місячну підписку.
Ціни можуть змінюватися, тому перед придбанням необхідно перевіряти актуальний тариф безпосередньо на сторінці постачальника
8. Скільки часу займає процедура
Якщо домен уже правильно налаштований, DMARC перебуває на enforcement, логотип підготовлений, а права на нього легко підтверджуються, основним етапом залишається validation центром сертифікації.
Однак якщо DMARC ще встановлено на `p=none`, не перевірені сторонні системи розсилки, відсутній належний SVG або є питання щодо ТМ, основний час займає саме підготовка.
Окремо слід враховувати, що якщо для VMC спочатку необхідно зареєструвати торговельну марку, строк реєстрації ТМ стає окремим і потенційно найдовшим етапом.
9. Чи гарантує CMC/VMC, що листи не потраплятимуть у спам
Ні. CMC та VMC не є антиспам-сертифікатами.
На доставку листів впливають репутація домену та IP-адреси, результати SPF/DKIM/DMARC, історія відправлень, скарги одержувачів, якість бази адресатів, зміст листів та внутрішні алгоритми поштового провайдера. Тому твердження «після отримання VMC листи не потрапляють у спам» є технічно некоректним.
Функція CMC/VMC полягає в іншому — підтвердити зв'язок між організацією, доменом та логотипом для використання цього логотипа в BIMI.
10. Чи буде логотип відображатися у всіх поштових клієнтах
Також ні.
Кожен mailbox provider самостійно визначає:
- чи підтримує BIMI;
- які Mark Certificates визнає;
- де саме показує логотип;
- які додаткові критерії застосовує до відправника.
Висновок
CMC та VMC не є просто «сертифікатами для логотипа». Вони є одним із завершальних елементів системи автентифікації та підтвердження бренду в електронній пошті.
VMC використовується насамперед тоді, коли логотип має належну формальну реєстрацію як торговельна марка, тоді як CMC дозволяє за визначених умов використовувати логотип без такої реєстрації, зокрема на підставі підтвердженого попереднього використання.
Практичний процес складається з трьох взаємопов'язаних частин: налаштування безпечної поштової інфраструктури, підтвердження бренду та технічного впровадження BIMI. Тому до придбання сертифіката доцільно спочатку перевірити готовність домену та логотипа. Це дозволяє визначити відповідний тип сертифіката, уникнути витрат на продукт, вимогам якого бренд ще не відповідає, та пройти процедуру сертифікації без зайвих затримок.