BIMI: Cara Menampilkan Logo Merek di Inbox dengan Autentikasi Email yang Kuat

Logo merek yang tampil di samping email dapat membantu penerima mengenali pengirim, tetapi gambar saja bukan bukti bahwa sebuah pesan aman. Brand Indicators for Message Identification (BIMI) adalah mekanisme yang memungkinkan penyedia email menampilkan logo organisasi pada pesan yang memenuhi persyaratan tertentu. Agar penerapannya berguna, BIMI perlu dibangun di atas autentikasi email yang benar, bukan diperlakukan sebagai pengganti SPF, DKIM, atau DMARC.

Apa Itu BIMI dan Apa Manfaatnya?

BIMI menghubungkan domain pengirim yang telah diautentikasi dengan berkas logo yang dikelola pemilik domain. Penyedia kotak surat yang mendukung BIMI dapat mengambil logo tersebut dan menampilkannya pada antarmuka email. Hasilnya, identitas visual merek lebih konsisten dan penerima mendapat petunjuk tambahan saat memeriksa pesan masuk.

Namun, BIMI bukan sistem penyaring phishing dan tidak menjamin pesan bebas dari penipuan. Penyerang masih dapat meniru nama atau desain merek, sementara tampilan logo bergantung pada kebijakan penyedia email, reputasi pengirim, dan kelengkapan konfigurasi. Karena itu, logo BIMI sebaiknya dipandang sebagai sinyal tambahan setelah kontrol autentikasi dasar diterapkan.

Prasyarat Utama: SPF, DKIM, dan DMARC

Sebelum mengatur BIMI, pastikan semua layanan yang mengirim email atas nama domain sudah terinventarisasi. SPF membantu penerima memeriksa apakah sumber pengiriman diizinkan; DKIM menambahkan tanda tangan digital pada pesan; sedangkan DMARC memeriksa keselarasan domain SPF atau DKIM dengan domain yang terlihat pada alamat From serta menyatakan kebijakan untuk pesan yang gagal.

Untuk BIMI, kebijakan DMARC umumnya harus berada pada tahap penegakan, yaitu p=quarantine atau p=reject, bukan hanya pemantauan dengan p=none. Kebijakan untuk subdomain juga perlu diperiksa agar tidak ada jalur pengiriman yang terlewat. Jangan langsung memperketat DMARC sebelum semua sumber email sah diuji; perubahan yang terlalu cepat dapat membuat invoice, notifikasi aplikasi, atau newsletter yang valid masuk spam atau ditolak.

Jika perlu menyegarkan konfigurasi dasar, baca panduan Nazuaf tentang SPF, DKIM, dan DMARC untuk mengamankan email domain. Lakukan inventarisasi pengirim, pantau laporan DMARC, dan naikkan kebijakan secara bertahap sebelum melanjutkan ke BIMI.

Siapkan Logo dalam Format yang Sesuai

BIMI tidak menerima sembarang berkas gambar sebagai logo. Persyaratan umumnya menggunakan profil SVG Tiny Portable/Secure (SVG Tiny PS), yang membatasi fitur SVG agar logo lebih konsisten dan aman diproses oleh sistem penerima. Berkas SVG biasa yang diekspor dari aplikasi desain belum tentu memenuhi spesifikasi ini.

Gunakan versi logo resmi yang sederhana, jelas saat diperkecil, dan tetap terbaca di area tampilan yang mungkin berbentuk lingkaran. Pastikan berkas tidak bergantung pada skrip, animasi, atau sumber eksternal. Simpan di alamat HTTPS yang dapat diakses publik tanpa login, dan uji URL tersebut dari jaringan luar. Ikuti validator serta panduan SVG yang disediakan BIMI Group sebelum menerbitkan record DNS.

Memahami VMC dan CMC

Beberapa penyedia email meminta sertifikat yang menghubungkan logo dengan organisasi. Dua istilah yang perlu dikenal adalah Verified Mark Certificate (VMC) dan Common Mark Certificate (CMC). VMC umumnya memerlukan bukti merek dagang yang memenuhi persyaratan penerbit sertifikat. CMC menyediakan jalur lain bagi merek yang memenuhi kriteria penggunaan logo, tetapi tidak memberikan semua tanda verifikasi yang sama.

Google mengumumkan dukungan CMC untuk BIMI di Gmail pada 24 September 2024. Dengan CMC, logo dapat ditampilkan tanpa tanda centang verifikasi biru Gmail; VMC tetap diperlukan jika tanda centang tersebut menjadi tujuan. Persyaratan sertifikat berbeda antarpenyedia dan dapat berubah, jadi periksa dokumentasi penerima yang menjadi sasaran sebelum membeli sertifikat. Jangan menganggap satu konfigurasi menjamin logo tampil di semua aplikasi email.

Menerbitkan Record BIMI di DNS

Setelah kebijakan DMARC memenuhi syarat dan berkas logo siap, buat record TXT pada nama selector BIMI. Selector standar yang umum dipakai adalah default._bimi. Contoh berikut memakai domain dan URL ilustratif, bukan nilai yang harus disalin mentah-mentah:

default._bimi.example.com TXT
"v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem"

Tag v menyatakan versi BIMI dan l menunjuk ke logo SVG. Tag a dapat menunjuk ke bukti sertifikat dalam format yang dipersyaratkan penyedia; kebutuhan dan cara publikasinya mengikuti kebijakan penerima. Ganti semua nilai contoh dengan domain, berkas, dan sertifikat milik organisasi. Jangan menaruh kata sandi atau materi kunci privat di DNS.

Di Cloudflare atau penyedia DNS lain, pilih tipe TXT dan masukkan nama record sesuai format panel yang digunakan. Beberapa panel menambahkan nama domain secara otomatis, jadi periksa hasil akhirnya untuk menghindari nama ganda. Setelah disimpan, verifikasi record dari resolver publik dan pastikan URL logo serta sertifikat dapat diakses melalui HTTPS.

Checklist Pengujian Sebelum Menganggapnya Berhasil

1. Uji SPF, DKIM, dan DMARC pada pesan nyata dari setiap layanan pengirim yang sah.
2. Pastikan DMARC sudah menerapkan kebijakan penegakan dan tidak memutus email yang dibutuhkan.
3. Validasi logo sebagai berkas yang benar, dapat diakses melalui HTTPS, dan memenuhi persyaratan format serta ukuran yang berlaku.
4. Periksa record BIMI dan sertifikat yang digunakan, lalu uji pengiriman ke penyedia mailbox yang mendukung BIMI.

Kesimpulan

BIMI membantu merek menampilkan logo pada inbox yang mendukungnya, tetapi hasilnya bergantung pada kebijakan penyedia email. Pastikan SPF dan DKIM selaras dengan DMARC, siapkan logo dan sertifikat yang sesuai, lalu verifikasi DNS serta pengiriman email secara bertahap. BIMI bukan jaminan logo akan muncul di setiap inbox dan tidak menggantikan praktik keamanan email lainnya.