E-posta kimlik doğrulaması uzun süre görünmez bir teknik konu olarak kaldı: doğru yapılandırırsanız kimse fark etmez, yanlış yapılandırırsanız e-postalarınız spam'e düşer. BIMI bu denklemi değiştiriyor — doğru yapılandırmanın görünür bir karşılığı oluyor: marka logonuz alıcının gelen kutusunda iletinin yanında görünüyor.
Bu yazı BIMI'nin ne olduğunu, gereksinimlerini ve e-posta kimlik doğrulamasında gidilen yönü anlatıyor.
BIMI Nedir?
BIMI (Brand Indicators for Message Identification), alan adınızın logosunu destekleyen e-posta istemcilerinde gösterilmesini sağlayan bir standarttır. Alıcı, gelen kutusunda gönderen adının yanında jenerik bir baş harf yerine markanızın logosunu görür.
Faydası iki yönlüdür:
- Tanınırlık: Logo, iletinin sizden geldiğini bir bakışta gösterir. Açılma oranları üzerinde olumlu etkisi olduğu gözlenmiştir.
- Kimlik avına karşı koruma: Sizi taklit eden bir ileti logoyu gösteremez. Alıcı, logo yokluğunu bir sinyal olarak okumayı öğrendikçe taklit girişimleri daha kolay ayırt edilir.
BIMI'nin Ön Koşulları
BIMI, sıfırdan kurulan bir sistem değil; mevcut kimlik doğrulama altyapınızın üzerine eklenen bir katmandır. Bu yüzden ön koşulları katıdır:
- SPF ve DKIM eksiksiz çalışıyor olmalı. Gönderdiğiniz tüm e-postalar doğrulamayı geçmelidir.
- DMARC politikası uygulanıyor olmalı. "none" yeterli değildir — en az "quarantine" seviyesinde bir politika gerekir. Bu, BIMI'nin en zorlayıcı koşuludur ve çoğu kurumun takıldığı noktadır.
- Logo belirli bir formatta hazırlanmalı. Vektör formatında, kare oranında ve belirli teknik kısıtlara uyan bir dosya gerekir.
- Bazı sağlayıcılar marka doğrulama sertifikası ister. Logonun gerçekten size ait olduğunu kanıtlayan, tescilli marka gerektiren bir belgedir ve ücretlidir.
- DNS'e BIMI kaydı eklenmeli. Logo dosyasının ve varsa sertifikanın adresini gösteren bir TXT kaydı.
Asıl Değer: DMARC Eşiği
BIMI'nin en önemli katkısı belki de logonun kendisi değil, kurumları DMARC politikasını gerçekten uygulamaya zorlamasıdır.
Birçok kurum DMARC'ı "none" seviyesinde kurup orada bırakır — rapor alır ama politika uygulamaz. Bu, koruma sağlamaz: alan adınızı taklit eden iletiler yine de teslim edilir. BIMI, somut bir ödül (logo görünürlüğü) sunarak politikayı sıkılaştırmak için gerekçe yaratır.
Yani BIMI'ye geçiş süreci, aslında e-posta güvenliğinizi baştan sona düzeltme sürecidir. Logo bir yan üründür; asıl kazanç, alan adınızın taklit edilemez hale gelmesidir.
Yol Haritası
| Aşama | Yapılacak | Süre |
|---|---|---|
| 1. Envanter | Alan adınız adına gönderen tüm sistemleri listele | Birkaç gün |
| 2. SPF + DKIM | Tüm gönderenleri doğrulamadan geçir | 1-2 hafta |
| 3. DMARC "none" | Rapor topla, eksik gönderenleri bul | 2-4 hafta |
| 4. DMARC "quarantine" | Politikayı sıkılaştır, izle | 2-4 hafta |
| 5. DMARC "reject" | Tam koruma | Sürekli |
| 6. BIMI | Logo hazırla, sertifika al, DNS kaydı ekle | Birkaç hafta |
Bu sıralamayı atlamaya çalışmak işe yaramaz: BIMI kaydı ekleseniz bile, DMARC politikanız yeterli seviyede değilse logo gösterilmez.
E-posta Kimlik Doğrulamasında Yön
Büyük e-posta sağlayıcıları son yıllarda gönderen gereksinimlerini sürekli sıkılaştırıyor. Eğilim nettir ve şu üç yönde ilerliyor:
- Kimlik doğrulama zorunlu hale geliyor. Bir zamanlar "iyi olur" denen SPF ve DKIM, artık toplu gönderim yapanlar için fiilen zorunlu. Bu gereksinimler yalnızca genişliyor.
- Abonelikten çıkış standartlaşıyor. Tek tıkla abonelikten çıkma, alıcı sağlayıcılar tarafından beklenen bir özellik haline geliyor. Çıkışı zorlaştıran gönderenler ayıklanıyor.
- Şikayet eşikleri belirginleşiyor. Sağlayıcılar kabul edilebilir şikayet oranlarını açıkça tanımlamaya başladı. Eşiği aşan göndericilerin teslimatı sistematik biçimde kısıtlanıyor.
Bu eğilim, e-posta gönderimini giderek daha fazla uzmanlık gerektiren bir alana dönüştürüyor. Kendi sunucusundan gönderim yapan işletmeler için bu gereksinimleri takip etmek ve karşılamak sürekli bir yük haline geliyor. Bu yükün önemli bölümünü üstlenen bir smarthost altyapısı, standartlar değiştikçe uyumu sağlayan taraf olur — siz içerik ve liste tarafına odaklanırsınız.
Nereden Başlamalı?
BIMI hedefiniz olsun ya da olmasın, atılacak ilk adımlar aynıdır ve bunlar zaten kendi başlarına değerlidir:
- Gönderen envanterini çıkarın.
- SPF ve DKIM'i tüm gönderenler için tamamlayın.
- DMARC'ı "none" ile kurup raporları okumaya başlayın.
- Raporlardaki eksik gönderenleri yapılandırın.
- Politikayı kademeli sıkılaştırın.
Beşinci adımı tamamladığınızda BIMI zaten erişilebilir hale gelir — ve daha önemlisi, alan adınız taklit edilemez olur.
Sonuç
BIMI, e-posta kimlik doğrulamasına görünür bir ödül ekliyor ama asıl değeri, kurumları DMARC politikasını gerçekten uygulamaya yöneltmesinde. Logo bir sonuç; süreç ise alan adınızın taklit edilemez hale gelmesi. Sağlayıcıların gereksinimleri sıkılaşmaya devam ederken, bu altyapıyı bugün kurmak yarının zorunluluklarına hazırlıklı olmak anlamına geliyor. Başlangıç noktası her zaman aynı: envanteri çıkarın ve SPF/DKIM/DMARC üçlüsünü eksiksiz tamamlayın.
Sıkça Sorulan Sorular (SSS)
BIMI zorunlu mu?
Hayır, isteğe bağlı bir standarttır ve teslimat için gerekli değildir. Ancak ön koşulu olan DMARC politikası uygulaması, e-posta güvenliği açısından güçlü biçimde önerilir. BIMI'yi hedeflemek, o adımı atmak için iyi bir motivasyon sağlar.
Marka sertifikası şart mı?
Sağlayıcıya göre değişir. Bazı e-posta sağlayıcıları logoyu göstermek için tescilli markaya dayalı bir doğrulama sertifikası ister, bazıları sertifikasız da gösterir. Sertifika ücretlidir ve tescilli marka gerektirir.
DMARC "reject" riskli değil mi?
Hazırlıksız geçilirse evet — doğrulamayı geçemeyen meşru gönderenlerinizin e-postaları reddedilmeye başlar. Bu yüzden "none" ile başlayıp raporları okuyarak, tüm gönderenlerin doğrulamayı geçtiğinden emin olduktan sonra kademeli geçmek gerekir.
Logo her yerde görünecek mi?
Hayır, yalnızca BIMI'yi destekleyen e-posta istemcilerinde. Destek zamanla genişliyor ancak evrensel değil. Bu yüzden BIMI'yi bir görünürlük iyileştirmesi olarak düşünün; asıl kazanç, ona ulaşmak için kurduğunuz kimlik doğrulama altyapısıdır.
