BIMI i logo nadawcy w skrzynce: co daje, a czego nie załatwi

Czym jest BIMI i co dokładnie robi

BIMI to rekord DNS. Nie usługa, nie przełącznik w kliencie pocztowym. Publikujesz wpis w strefie swojej domeny, a reszta dzieje się po stronie odbiorcy. Logo nadawcy pojawi się w skrzynce dopiero wtedy, gdy operator poczty uzna, że spełniasz jego warunki. Ty niczego nie wymuszasz. Udostępniasz dane i tyle.

Technicznie? Banał. W _bimi._domainkey.twojadomena.pl siedzi rekord TXT z wersją, adresem pliku SVG z logo i opcjonalnie adresem certyfikatu. Odbierająca skrzynka pobiera plik, sprawdza uwierzytelnienie wiadomości i decyduje, czy w ogóle to pokaże.

Szczegół, o którym ludzie zapominają: BIMI działa na poziomie domeny z nagłówka From, nie pojedynczej kampanii. Nie ustawisz innego logo dla newslettera, a innego dla maili transakcyjnych z tej samej domeny. Efekt jest wyłącznie wizualny - awatar przy wiadomości zamiast inicjału albo szarej ikonki.

Warunek wejścia: DMARC z polityką egzekwującą

Bez DMARC z polityką p=quarantine albo p=reject BIMI nie ruszy. Sama publikacja p=none to za mało, choć w rozmowach z klientami słyszę wtedy „przecież mamy DMARC”. No właśnie nie macie. Polityka none tylko zbiera raporty, niczego nie egzekwuje.

DMARC opiera się na wyrównaniu. SPF albo DKIM musi zgadzać się z domeną z From. Return-Path na subdomenie nadawcy porządkuje wyrównanie SPF, ale ja stawiam na DKIM podpisany domeną nadawcy - przetrwa przekierowania i listy dyskusyjne.

Kolejność prac jest sztywna: SPF i DKIM, potem raporty DMARC, potem zaostrzenie polityki, na końcu BIMI. Prowadząc własną flotę serwerów wysyłkowych, dokładamy do tego PTR zgodny z HELO i osobne domeny techniczne do śledzenia linków. Drobiazgi, owszem. Ale filtry sprawdzają je odruchowo.

Tip: zanim podniesiesz politykę do reject, czytaj raporty agregujące przez kilka tygodni. Wyłapiesz systemy wysyłające w twoim imieniu: CRM, fakturowanie, formularze na stronie, narzędzia HR. Każdy z nich zablokujesz, jeśli zaostrzysz politykę na ślepo. Sprawdziłem to na własnej skórze, kiedy komuś z księgowości nagle przestały chodzić wezwania do zapłaty.

Logo w formacie SVG: wymagania, które wywracają projekt

Plik musi być w profilu SVG Tiny Portable/Secure. To okrojony podzbiór SVG, przycięty pod bezpieczeństwo. Odpada wszystko, co potrafi cokolwiek wykonać albo pobrać.

• Bez skryptów i zdarzeń.
• Bez animacji.
• Bez zewnętrznych odwołań: fontów, obrazów, arkuszy stylów.
• Bez osadzonych rastrów - żadnego PNG zakodowanego w base64.
• Kwadratowy kadr, jednolite tło, wymagany element title.
• Rozmiar liczony w kilobajtach, nie megabajtach.

Plik leży pod stałym adresem HTTPS z poprawnym certyfikatem. Bez przekierowań, bez ścieżki, która zmienia się przy każdym wdrożeniu strony.

I tu zaczyna się rozmowa z grafikiem. Sygnatura graficzna marki zwykle wymaga uproszczenia, bo pełny logotyp z tekstem po zmniejszeniu do rozmiaru awatara zamienia się w plamę. Sygnet działa lepiej. Często trzeba narysować wariant, który istnieje wyłącznie na potrzeby skrzynki pocztowej i nigdzie indziej się nie pojawia.

VMC i CMC: kiedy certyfikat jest naprawdę potrzebny

VMC, czyli Verified Mark Certificate, potwierdza prawo do znaku towarowego zarejestrowanego w uznanym urzędzie patentowym. CMC obejmuje znaki bez rejestracji, ale wsparcie po stronie skrzynek jest węższe.

Certyfikat oznacza koszt roczny i procedurę weryfikacji firmy. Urząd sprawdza dane rejestrowe, przedstawiciela i zgodność pliku graficznego ze znakiem. Od zgłoszenia znaku do wydania pliku PEM mija sporo czasu, więc nie planuj tego pod konkretną kampanię. Naprawdę, nie planuj.

Część operatorów wymaga certyfikatu, część wyświetla logo bez niego. Przyjmij założenie robocze: bez VMC pokrycie będzie częściowe. Zobaczysz logo u jednych, u innych nie.

Decyzja jest biznesowa, nie techniczna. Nie masz zarejestrowanego znaku? Kolejność wygląda tak: najpierw rejestracja znaku, potem certyfikat, potem BIMI. Odwrotnie się nie da i żadne obejście tego nie skróci.

Gdzie logo się pojawi, a gdzie go nie zobaczysz

Wsparcie zależy od operatora skrzynki i zmienia się w czasie. Nikt uczciwy nie obieca ci pełnego pokrycia, bo lista wspierających dostawców to ruchomy cel.

Webmail i aplikacja mobilna tego samego dostawcy potrafią renderować inaczej. W przeglądarce logo bywa widoczne, w aplikacji nie. Klienty desktopowe zwykle biorą awatar z lokalnej książki adresowej odbiorcy, a nie z twojego rekordu.

Stąd bierze się sytuacja, która myli marketing: kontakt zapisany lokalnie nadpisuje logo z BIMI. Klient, z którym korespondujesz od lat, zobaczy zdjęcie, które sam kiedyś przypiął do wizytówki. I nic z tym nie zrobisz.

Propagacja bywa powolna. Po publikacji rekordu efekt widać po dniach, nie po minutach. Skrzynki buforują pobrane logo.

Tip: testuj na własnych kontach u kilku różnych operatorów, na urządzeniach mobilnych i w przeglądarce. Sprawdzanie na jednym firmowym koncie nic nie mówi o tym, co widzi twoja baza.

Czego BIMI nie załatwi

BIMI nie poprawia dostarczalności. Nie przenosi wiadomości ze spamu do odebranych i nie działa jak przepustka. Filtr ocenia zachowanie odbiorców, historię domeny i jakość ruchu. Nie obrazek przy nagłówku.

Nie naprawia zepsutej reputacji IP ani domeny. Nie zastąpi też warmupu nowego adresu IP i nowej domeny - te procesy trwają tyle, ile trwają, niezależnie od tego, co masz w DNS.

Sam z siebie nie chroni przed spoofingiem. Ochronę daje polityka DMARC, a BIMI jest jej skutkiem ubocznym. Odwracanie tej zależności to chyba najczęstsze nieporozumienie w rozmowach o logo w skrzynce.

Nie legalizuje bazy. RODO i prawo komunikacji elektronicznej, w tym artykuł 398 PKE, wymagają zgody także w B2B. Rekord DNS nie zastąpi podstawy prawnej.

Kampania ze słabą listą, wysokim bounce i skargami zostanie kampanią ze słabą listą. Tip: jeśli walczysz z blokadą u dużego filtru, odłóż BIMI. Zajmij się higieną listy, tempem wysyłki i treścią - to działa, obrazek nie.

Wdrożenie krok po kroku

1. Audyt SPF i DKIM dla wszystkich systemów wysyłających w twoim imieniu.
2. DMARC p=none z adresem na raporty agregujące.
3. Uporządkowanie źródeł wysyłki: podpisy DKIM, poprawny Return-Path, likwidacja martwych wpisów w SPF.
4. Podniesienie polityki do quarantine, potem do reject.
5. Przygotowanie pliku SVG Tiny PS i wystawienie go pod stałym HTTPS.
6. VMC albo CMC, jeśli zależy ci na szerszym pokryciu.
7. Publikacja rekordu BIMI w strefie DNS.
8. Testy na kilku operatorach i kilku urządzeniach.

Podział ról bywa niedoceniany. IT trzyma DNS, grafik przygotowuje plik, marketing czeka. Bez tej trzeciej części harmonogram się sypie.

Typowe potknięcia? Literówka w nazwie rekordu, plik SVG serwowany z przekierowania, wygasły certyfikat. Odnowienia wpisz do kalendarza - wygaśnięcie zdejmuje logo bez ostrzeżenia i nikt cię o tym nie poinformuje.

Sama wysyłka to osobna warstwa. Nasza platforma do email marketingu z własną flotą serwerów wysyłkowych obsługuje uwierzytelnienie po stronie infrastruktury. Konfigurację DNS po stronie klienta wspieramy instrukcją - kreatora rekordów BIMI w panelu nie ma, jest na roadmapie.

Podsumowanie: BIMI jako nagroda, nie skrót

Logo w skrzynce to potwierdzenie, że uwierzytelnienie masz poukładane. Nie jest narzędziem do poprawiania wyników, tylko widocznym efektem porządku, który zrobiłeś wcześniej.

Kolejność jest nieodwracalna. Najpierw SPF, DKIM, DMARC i czysta lista, dopiero potem obrazek. Pójście na skróty kończy się rekordem, którego nikt nie renderuje.

Korzyść jest realna, choć wąska: rozpoznawalność nadawcy i mniej pomyłek przy domenach podobnych do twojej. W branżach, gdzie podszywanie się pod markę jest częste, to sensowny argument.

Budżet napięty? Certyfikat może poczekać. Uwierzytelnienie nie. Zrób DMARC porządnie, a decyzję o VMC podejmij, gdy reszta stoi stabilnie.