L’authentification des e-mails s’accompagne de bien des termes étranges. Nous connaissons et maîtrisons déjà SPF, DKIM et DMARC, des protocoles de sécurité établis et éprouvés qui sous-tendent la stratégie moderne contre les agissements malveillants comme l’usurpation d’identité et l’hameçonnage.
Un standard de plus est toutefois arrivé assez récemment. Brand Indicator Messaging Identification est le petit nouveau de la bande. Ce n’est pas un protocole de sécurité classique, plutôt un complément à DMARC, mais il contribue beaucoup à protéger la correspondance numérique, à assainir l’écosystème e-mail et à prouver aux fournisseurs de messagerie la validité, la crédibilité et la fiabilité de l’expéditeur.
De grands fournisseurs de messagerie comme Google et Apple ont déjà reconnu sa capacité à renforcer l’authentification et les mesures de sécurité, et ont même déployé des mécanismes pour le prendre en charge. Dans le même temps, d’après des enquêtes récentes, les utilisateurs ordinaires reconnaissent qu’il les aide à mieux repérer les cyberattaques.
Alors, qu’est-ce qu’un enregistrement BIMI, pourquoi compte-t-il, et comment le créer puis vérifier qu’il fonctionne comme prévu ? Suivez le guide.
Qu’est-ce qu’un enregistrement BIMI ?
Brand Indicator Messaging Identification, plus connu sous le nom de BIMI, fait partie des standards d’authentification fondamentaux établis par l’AuthIndicators Working Group et largement approuvés par les ESP, les fournisseurs de messagerie et les acteurs clés de l’écosystème e-mail.
En résumé, c’est un enregistrement DNS TXT publié sur le serveur de votre domaine, qui affiche le logo de l’expéditeur dans la boîte de réception du destinataire, juste avant le nom et l’objet de la newsletter. Il comporte quatre éléments principaux : le sous-domaine, le Verified Mark Certificate, le logo de la marque et la version.
Comme il ne fait pas partie de la newsletter elle-même, mais reste bien à l’abri sur votre serveur de messagerie, il échappe aux acteurs malveillants, qui n’y ont pas directement accès pendant la transmission. Ces informations sont donc difficiles à compromettre, ce qui en fait un vrai label de confiance et protège la correspondance numérique de l’hameçonnage.
L’enregistrement BIMI n’est pas une approche d’authentification classique avec un protocole de sécurité au cœur. C’est une solution supplémentaire qui renforce des mesures répandues comme SPF, DMARC et DKIM. Ce n’est que si le message passe la vérification d’authentification et si le fournisseur de messagerie juge la réputation de l’entreprise suffisante que le DNS sera interrogé pour récupérer l’enregistrement BIMI correspondant et l’afficher dans la vue du message du client de messagerie.
Beaucoup de fournisseurs de messagerie ont déjà admis l’importance de BIMI et déployé des mécanismes pour le prendre en charge, mais chacun décide encore s’il affiche l’enregistrement, et où. Apple et Gmail, par exemple, l’affichent dans le webmail et les applications mobiles, à côté du nom de l’expéditeur. La Poste et Zone l’affichent en revanche près de l’objet, tandis que Yahoo ne montre le véritable logo de la marque que dans ses applications mobiles.
Les prérequis d’un enregistrement BIMI
Contrairement aux autres protocoles d’authentification des e-mails, utiliser un enregistrement BIMI suppose de remplir certaines conditions. Comme il fonctionne en extension de DMARC et sert à renforcer les mesures de sécurité, il exige des entreprises qu’elles satisfassent des critères précis pour avoir le droit de l’afficher dans la boîte de réception du destinataire.
D’abord, l’entreprise doit s’assurer que l’authentification DMARC est correctement configurée sur le domaine d’envoi, avec une politique réglée sur « reject » ou « quarantine ». Si la vérification DMARC échoue, les fournisseurs de messagerie n’afficheront pas l’enregistrement BIMI. Ce point piège plus d’expéditeurs qu’on ne l’imagine : nos données de benchmark montrent que 42 % des domaines que nous contrôlons n’ont toujours aucune politique DMARC, ce qui les disqualifie pour BIMI avant même de commencer.
Ensuite, l’entreprise doit avoir une bonne réputation d’envoi et un bon historique d’envoi pour ses domaines et ses adresses IP.
Troisième point : l’entreprise doit obtenir le Verified Mark Certificate. Le VMC ajoute un niveau de sécurité qui prouve que l’entreprise est bien propriétaire du domaine. Pour cela, elle doit posséder une marque déposée dans une juridiction compétente et un logo BIMI conforme à cette marque.
Enfin, l’entreprise doit respecter les spécifications du logo. Pour commencer, les marques doivent créer pour leurs enregistrements BIMI des logotypes conformes à la marque déposée, facilement reconnaissables et porteurs d’éléments qui facilitent la vérification. Ils doivent rester cohérents à différentes résolutions, sans perte de qualité.
Côté technique, le logo BIMI doit être carré et fourni au format Scaled Vector Graphic, sans balise
Les fournisseurs de messagerie qui prennent en charge BIMI
Comme pour tout nouveau standard e-mail, tous les fournisseurs de messagerie ne le prennent pas en charge. Son adoption progresse toutefois, surtout depuis que Google s’y est engagé en 2021 et a encouragé les autres acteurs à adopter cette mesure de sécurité supplémentaire.
Pour l’heure, les enregistrements BIMI sont pris en charge par Gmail, avec un Verification Machine Certificate et un Certificate Management Certificate, par Yahoo, sans exiger de VMC, par Apple Mail à partir d’iOS 16 et de Ventura 13, ainsi que par Fastmail, La Poste, AOL/Netscape et Cloudmark. Comcast, Seznam et BT prévoient de le faire. L’adoption de BIMI est massive, plusieurs grands fournisseurs de messagerie sont déjà à bord, et seul Microsoft l’ignore complètement.
L’image ci-dessous détaille visuellement la prise en charge actuelle de BIMI.
L’importance de l’enregistrement BIMI
Même s’il n’est pas au départ un protocole de sécurité classique comme SPF ou DMARC, l’enregistrement BIMI reste l’une des approches fondamentales pour protéger l’écosystème e-mail et prouver la fiabilité et la validité de l’expéditeur. Extension de DMARC et renfort de l’authentification des e-mails, il compte pour plusieurs raisons.
D’abord, c’est une couche de sécurité de plus, essentielle pour éloigner les destinataires des activités malveillantes et offrir une connexion sûre en réduisant les risques d’hameçonnage et d’usurpation d’identité. Le meilleur, c’est que même si la partie technique est compromise et que les fournisseurs de messagerie n’y voient rien, les utilisateurs gardent une chance de repérer l’attaque : l’absence de BIMI, c’est-à-dire du logotype de la marque à côté du nom de l’expéditeur et de l’objet, éveille les soupçons chez ceux qui ont l’habitude de voir cette signature visuelle sur chaque e-mail.
Ensuite, il incite les entreprises à prendre l’authentification au sérieux. Sa popularisation et le soutien des principaux fournisseurs de messagerie poussent les organisations à mettre en place SPF et DKIM et, surtout, DMARC, ce qui renforce leur authentification. L’entreprise et l’écosystème e-mail y gagnent beaucoup : les acteurs combattent plus efficacement les malveillants et les utilisateurs bénéficient d’une connexion sûre.
Troisièmement, il aide à standardiser l’affichage du logo des entreprises. Ce sont elles qui pilotent BIMI : elles contrôlent donc la façon dont leurs messages apparaissent dans la boîte de réception. Comme pour l’objet et le nom de l’expéditeur, elles évitent la confusion et l’agacement causés par les icônes générées automatiquement.
Quatrièmement, il sert les efforts marketing de la marque. Des études récentes montrent que les enregistrements BIMI font office de label de confiance et font partie intégrante de l’identité de marque. Affiché régulièrement à côté du message, il renforce la crédibilité de l’entreprise, augmente les taux d’ouverture et la mémorisation de la marque, et influe en partie sur les conversions. Sur les expéditeurs que nous testons, nos données de benchmark montrent que ceux qui adoptent BIMI voient la reconnaissance de leur marque progresser de 25 %, leurs taux d’ouverture de 18 % et leur score de confiance de 32 %.
Enfin, il améliore le sender score et la réputation. Membre de la famille de l’authentification et label de confiance largement accepté, l’enregistrement BIMI fait bouger le sender score et la réputation dans le bon sens. Il donne à l’entreprise une image digne de confiance aux yeux des messageries et des fournisseurs, et franchit sans mal les inspections rigoureuses et les filtres antispam.
Comment fonctionne un enregistrement BIMI ?
L’enregistrement BIMI s’appuie sur les standards d’authentification existants, plus précisément sur DMARC. Il se crée donc et s’ajoute au DNS une fois que l’entreprise a mis en place avec succès les protocoles SPF, DKIM et DMARC.
Le processus de vérification est relativement simple. Le fournisseur de messagerie commence par authentifier la newsletter en la confrontant aux principaux protocoles de sécurité.
Ensuite, si le message passe cette inspection rigoureuse, il interroge le DNS pour y trouver l’enregistrement BIMI correspondant. Il en récupère toutes les informations essentielles et contrôle qu’elles répondent à ses critères. Google, par exemple, exige un Verification Machine Certificate, un fichier cryptographique qui prouve la propriété du logo de la marque.
Enfin, il récupère à l’emplacement indiqué le fichier SVG contenant le logo de la marque et l’affiche selon ses propres préférences.
Cette procédure suppose de remplir certains critères et fait coopérer plusieurs services, ce qui rend l’authentification difficile à compromettre.
Points de sécurité à considérer
Au moment d’adopter l’enregistrement BIMI, plusieurs points de sécurité méritent votre attention, car le standard reste exposé aux détournements malveillants. Les mesures de protection suivantes sont indispensables :
- Toutes les métadonnées doivent être supprimées.
- Les fichiers volumineux doivent être évités ou réduits.
- Les indicateurs clés doivent respecter une taille définie et passer les contrôles de sécurité.
- Une réputation correcte auprès du MTA (Message Transfer Agent) doit être garantie.
- Un système de cache fiable doit être mis en place.
Comment créer un enregistrement BIMI ?
BIMI se résume peut-être à un seul enregistrement, une courte spécification et un lien vers le logotype de votre marque, mais comme tous les standards d’authentification, il demande une configuration soignée. Voici un guide pas à pas pour créer un enregistrement BIMI dans votre organisation.
Étape 1 : authentification DMARC.
Comme BIMI s’appuie sur les protocoles d’authentification existants et renforce leurs mesures de sécurité, il s’adopte juste après avoir configuré et validé les standards principaux, à savoir SPF, DMARC et DKIM.
Pendant la création de la signature numérique et de la clé de chiffrement, vérifiez que votre enregistrement DMARC remplit ces critères pour être éligible à BIMI :
- La politique DMARC est alignée avec le domaine e-mail.
- La politique DMARC (p=) est réglée sur « quarantine » (à 100 %) ou « reject » (à n’importe quel pourcentage)
Notez qu’un contrôle de validité DMARC a lieu chaque fois qu’un message atteint le fournisseur de messagerie ; il est donc essentiel que tout soit valide et fonctionne correctement.
Étape 2 : certification.
Cette étape est peut-être la plus longue, mais elle est décisive pour poser des fondations solides, conformes à toutes les exigences essentielles du protocole et des fournisseurs de messagerie.
Commencez par créer le logo. Il doit être de haute qualité, carré, peser au maximum 32 Ko, être fourni au format SVG et, surtout, correspondre à la marque reconnue par un office de propriété intellectuelle. Pour les spécifications techniques détaillées, consultez les exigences des fournisseurs de messagerie. Notez aussi que si le logo n’est pas déposé, l’entreprise peut utiliser un logo couvert par un CMC.
Obtenez ensuite un Verified Mark Certificate. Les organismes qui encadrent BIMI demanderont une preuve de propriété du domaine, que vous pouvez obtenir auprès de DigiCert et d’Entrust Datacard. Pour l’obtenir, l’entreprise doit soumettre son logo et toutes ses informations (dont son numéro d’enregistrement et les informations sur l’organisation) à des Mark Certificate Issuers, qui :
- Prouvent la propriété de la marque déposée.
- Prouvent que le titulaire de la marque est aussi le titulaire du domaine concerné.
- Vérifient que le logo correspond à la marque.
Étape 3 : ajouter les données à votre domaine.
Une fois votre propriété prouvée et le fichier de chaîne de certificats reçu, celui-ci doit être placé sur un serveur accessible publiquement en HTTPS. Chargez-le sur le serveur web public de votre domaine et copiez le lien : il vous servira dans l’enregistrement TXT d’assertion BIMI.
Étape 4 : création de l’enregistrement BIMI. Une fois l’authentification DMARC en place et le fichier PEM chargé sur le serveur public de votre domaine, le moment est venu de créer l’enregistrement BIMI et de l’ajouter à votre DNS. Copiez l’URL du fichier PEM et renseignez les bons paramètres d’un enregistrement TXT d’assertion BIMI.
Il y a trois paramètres : la version, le logo et l’assertion.
La version indique le protocole en cours. Pour l’instant, il s’agit de la version un, la déclaration s’écrit donc « BIMI1 ».
Le logo et l’assertion indiquent une URL vers le logotype. Tout dépend si vous avez obtenu la certification ou non. Si vous disposez d’un fichier PEM, « l » reste vide et le paramètre d’assertion porte le lien vers ce fichier. Si vous utilisez un logo SVG sans fichier de certificat, le paramètre d’assertion est omis et le paramètre de logo contient le lien vers le logo. Voici quelques exemples :
v=BIMI1; l= https://unspam.email/BIMIlogo.svg;
ou
v=BIMI1;l=;a= https://unspam.email/certificate.pem
Ajoutez ensuite un enregistrement TXT pour default.bimi.DomainAddress.
Étape 5 : tester et dépanner.
Tester et valider est essentiel pour s’assurer que tout fonctionne correctement. Utilisez les services listés plus bas pour effectuer une vérification BIMI gratuite en ligne et voir si votre enregistrement est parfaitement conforme aux dernières spécifications et fonctionne comme prévu. Ces instruments professionnels vérifient les enregistrements publiés et font remonter les problèmes comme les pistes d’amélioration. Consultez aussi les scénarios de dépannage que Google met à disposition de ses clients.
Comment vérifier la validité de BIMI ?
Dernière étape, et non la moindre : vérifier que BIMI est valide et respecte les spécifications et les exigences. Il vous faut pour cela un outil de diagnostic professionnel, capable de récupérer votre enregistrement dans le DNS, d’en lire les réglages et de valider votre logo et votre VMC pour repérer ce qui manque. Certains vont jusqu’à montrer le rendu du logo sur différents systèmes d’exploitation et plateformes, et à proposer des pistes d’amélioration.
Commencez par Unspam. L’outil réalise une vérification technique complète du côté e-mail : SPF, DKIM, DMARC, suffixe et ancienneté du domaine, en-tête list-unsubscribe. Cette vérification garantit le bon fonctionnement de l’authentification, indispensable pour que les fournisseurs de messagerie prennent votre BIMI en compte. Obtenez donc un rapport complet auprès d’Unspam, qui met au jour tous les problèmes possibles pour les éliminer sans attendre.
Unspam, outil de test antispam et de mesure de la délivrabilité
Vérifiez ensuite votre enregistrement BIMI avec ces services en ligne répandus :
- Notre BIMI checker gratuit est un autre bon outil pour vérifier et générer l’enregistrement BIMI correct.
Saisissez votre nom de domaine et testez s’il est éligible à l’affichage d’un enregistrement BIMI.
Conclusion
Brand Indicator Messaging Identification n’est encore qu’au début de son adoption et de sa reconnaissance, mais il s’impose déjà comme un complément prometteur aux protocoles de sécurité établis. Nos propres chiffres montrent à quel point c’est un début : sur les domaines que nous testons, 99 % ne publient toujours aucun enregistrement BIMI, et 1 % seulement l’ont adopté. En s’appuyant sur le travail de DMARC, il renforce l’authentification, ajoute une couche de protection et aide les entreprises à combattre les acteurs malveillants de façon proactive et efficace.
Des études récentes montrent que BIMI peut jouer le rôle d’un label de confiance pour une partie du marché, en renforçant la crédibilité, l’autorité et la réputation d’une entreprise sur le canal e-mail, en faisant monter son sender score et en influençant positivement les conversions et le ROI.
Peu à peu, BIMI devient incontournable pour les entreprises qui veulent capitaliser sur l’emailing et bâtir une identité de marque forte sur le canal e-mail ; il est donc important de l’intégrer à vos habitudes d’envoi.
