Come fa il logo di un brand a comparire accanto a un’email in Gmail o Yahoo Mail? Grazie al BIMI (Brand Indicators for Message Identification), un record DNS che indica ai provider di posta dove recuperare il logo del brand per mostrarlo nell’elenco dei messaggi. Il logo compare solo se il dominio di invio applica una policy DMARC in quarantine o reject. Gmail richiede inoltre un certificato di marchio (VMC o CMC) associato al logo. Apple pretende una prova verificata di quel logo.
Il protocollo BIMI si configura in un ordine preciso: prima DMARC, poi il certificato. Seguono il file SVG e il record DNS, con un test su Gmail alla fine.
Come funziona il BIMI
Quando riceve un messaggio, il servizio di posta del destinatario controlla prima SPF, DKIM e DMARC. Se l’autenticazione passa, interroga il DNS del dominio mittente all’indirizzo default._bimi.tuodominio.com. Il record TXT trovato rimanda a un logo in formato SVG e, a seconda dei casi, a un certificato in formato PEM. Il provider verifica il certificato, poi mostra il logo accanto al nome del mittente.
BIMI non sostituisce nessun protocollo di autenticazione, ci si appoggia. Prima di tutto al DMARC, che dimostra che il mittente controlla davvero il dominio. Il logo ostacola anche il phishing: se il dominio viene falsificato, il messaggio non supera DMARC e il logo non compare.
Lo standard resta una bozza IETF: la versione 14 di draft-brand-indicators-for-message-identification, datata 1 maggio 2026, scade il 2 novembre 2026 (IETF Datatracker). Gmail, Yahoo Mail e Apple Mail (da iOS 16 e macOS Ventura 13) lo applicano già.
Soddisfare i prerequisiti di autenticazione
Prima di acquistare un certificato, verifica quattro punti sul dominio di invio:
- un record SPF valido per ogni strumento di invio;
- una firma DKIM allineata al dominio;
- una policy DMARC (RFC 7489) con
p=quarantineop=reject; - una percentuale di applicazione al 100 (
pct=100, valore predefinito se il tag manca).
Secondo Google, p=none non è supportato e pct=100 è obbligatorio (pagina « Set up BIMI » della guida di Google Workspace, aggiornata il 13 ottobre 2026). Un dominio ancora in p=none sale per gradi (pct=10, poi pct=50, poi pct=100) e passa prima da una fase di report aggregati (tag rua) fino a zero falsi positivi. Esempio di record TXT da inserire su _dmarc.esempio.com: v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@esempio.com. Ogni strumento di invio di terze parti (Mailjet o SendGrid, per esempio) deve firmare in DKIM a nome del dominio prima di questo passaggio.
Scegliere tra VMC, CMC e BIMI senza certificato
Il VMC (Verified Mark Certificate) richiede un marchio registrato. Il CMC (Common Mark Certificate) è pensato per i loghi tutelati da un uso precedente, senza registrazione: il BIMI Group ha annunciato il 26 settembre 2024 che Google supportava ufficialmente i CMC in Gmail. Un logo non registrato passa quindi dal CMC, mentre una registrazione di marchio richiede da 6 a 12 mesi secondo Google.
Le regole cambiano a seconda del provider. Secondo il BIMI Group, Gmail rifiuta il record auto-dichiarato e pretende un logo certificato, mentre Yahoo Mail lo accetta, senza certificato, con un SVG in formato SVG P/S. Apple chiede invece una prova verificata del logo (« BIMI Evidence Document », di cui il VMC è l’esempio citato nella sua documentazione per sviluppatori) e non menziona il CMC. I dettagli sono nell’articolo sul BIMI senza certificato.
| Criterio | VMC | CMC | Senza certificato |
|---|---|---|---|
| Stato del logo | Marchio registrato | Uso precedente dimostrato, registrazione non richiesta | Nessuna prova richiesta |
| Logo in Gmail | Sì | Sì | No |
| Spunta di verifica in Gmail | Sì, secondo Google | Non annunciata | No |
| Apple Mail | Prova verificata richiesta (VMC citato come esempio) | Non menzionato da Apple | No |
| Yahoo Mail | Non necessario | Non necessario | Sì, con un SVG in formato SVG P/S |
| Prezzo | Stabilito dall’emittente | Stabilito dall’emittente | Nessuno |
I prezzi variano da un emittente all’altro e da un anno all’altro, per questo la tabella non riporta cifre: chiedi un preventivo per il tuo dominio prima di decidere. L’elenco delle autorità abilitate è curato dal BIMI Group e nella pagina attuale comprende DigiCert, GlobalSign e SSL.com. Un certificato ha una validità limitata e va quindi rinnovato a intervalli regolari: un certificato scaduto fa sparire il logo.
Preparare il file SVG
Google richiede un SVG con profilo SVG Tiny PS (baseProfile="tiny-ps", version="1.2"), di almeno 96 x 96 pixel in unità assolute, centrato in un quadrato, su sfondo a tinta unita. Si raccomanda un peso di 32 KB (32.768 byte) o inferiore. Collegamenti esterni e script sono vietati, così come le animazioni. Un elemento <desc> deve descrivere il logo. L’esportazione grezza di un programma di grafica non rispetta necessariamente questo profilo: la conversione è spiegata nell’articolo sulla creazione del logo BIMI in SVG.
Pubblicare il record DNS
Apri la zona DNS del dominio di invio presso il tuo hosting o registrar. Clicca su « Aggiungi record », scegli il tipo TXT e lascia il TTL a 3600 secondi. Nome: default._bimi (la maggior parte delle interfacce aggiunge il dominio in automatico). Valore:
v=BIMI1; l=https://esempio.com/bimi/logo.svg; a=https://esempio.com/bimi/certificato.pem
Il tag l= punta all’SVG, il tag a= al file PEM del certificato, entrambi in HTTPS. Per Gmail il valore di l= può restare vuoto. Gmail non supporta un record con il solo SVG, senza a=. Salva.
Il logo compare poi con un ritardo che può arrivare a 48 ore (Google Workspace, guida « Set up BIMI »).
Testare e risolvere i problemi
Dopo la pubblicazione, interroga il DNS da terminale con dig TXT default._bimi.esempio.com: il valore restituito deve riprendere la stringa inserita. Passa poi il dominio in uno strumento di test BIMI, come il BIMI Inspector, che convalida il record e poi l’SVG. Infine invia un messaggio a un indirizzo @gmail.com di prova, quindi apri « Mostra originale » per controllare che SPF, DKIM e DMARC risultino PASS. Aspetta fino a 48 ore prima di concludere che la configurazione è sbagliata.
Il logo non compare? Risali l’elenco in quest’ordine:
- DMARC non è a
pct=100o resta inp=nonesul dominio organizzativo; - l’SVG non è conforme a Tiny PS (peso eccessivo, script residuo, rapporto non quadrato);
- il file PEM non è raggiungibile in HTTPS oppure il certificato è scaduto;
- il record è stato inserito sul sottodominio sbagliato:
default._bimideve corrispondere al dominio del campo From; - il messaggio di prova non supera SPF o DKIM, e in tal caso fallisce anche DMARC.
Effetti reali del BIMI e limiti di copertura
Il logo accanto al nome rende il mittente riconoscibile a colpo d’occhio. La spunta di Gmail segnala un mittente verificato tramite VMC. BIMI mostra un logo. Non toglie nessun messaggio dallo spam.
A ottobre 2026, per quanto ne sappiamo, Outlook e Microsoft 365 non mostrano il logo BIMI e Microsoft non ha annunciato alcun rilascio.
Scegliere il certificato in base al proprio caso
Marchio registrato, destinatari soprattutto su Gmail: punta al VMC, che Google associa alla spunta di verifica. Logo non registrato: il CMC dà accesso al logo in Gmail senza aspettare i 6-12 mesi della registrazione. Contatti per lo più su Yahoo o budget a zero: il record auto-dichiarato basta per cominciare.
