[ BIMI e marca ]

Sintaxe BIMI DNS , seletores e descoberta de registros

Leia as tags e a descoberta BIMI como comportamento de protocolo versionado, não como um registro para colar às cegas.

Pela equipe de pesquisa EmailAuth

[Pontos-chave]

  • Mantenha o seletor BIMI separado do seletor DKIM .
  • O rascunho -15 contém descrições alternativas conflitantes; evite confiar em um substituto universal assumido.
  • Uma passagem de sintaxe não é um resultado de exibição do receptor.
Nesta página

BIMI a descoberta conecta o domínio De de uma mensagem e seletor para uma declaração DNS . A questão importante é qual registro um receptor tem o direito de usar, e não se algum valor TXT contém a palavra BIMI . Este artigo segue draft-brand-indicators-for-message-identification-15 , um rascunho da Internet de outubro de 2026, em vez de apresentá-lo como uma RFC publicada.

Anote a afirmação

Referências: Fonte §4.3.

Em v=BIMI1; l=https://assets.example/logo.svg; a=https://assets.example/mark.pem, v identifica a versão do protocolo, l aponta para o indicador e a aponta para evidências de autoridade. O rascunho requer a versão primeiro e o caso exato. Permite um local de autoridade vazio; uma tag opcional em nível de protocolo não elimina o requisito de certificado do receptor. O exemplo usa dois URLs para maior clareza, enquanto o exemplo atual baseado em PEM do Google pode usar um l vazio com o local do certificado em a. Siga o caminho do receptor aplicável em vez de assumir que cada variante sintática cria o mesmo resultado de exibição.

O projecto empresta DKIM sintaxe de tag-valor. Repetir uma tag não é uma forma de definir alternativas. Tags desconhecidas são ignoradas pelo modelo de extensão especificado; eles não têm permissão para inventar novas semânticas. Mantenha o tratamento de tags desconhecidas distinto de um valor obrigatório inválido.

Siga o nome da descoberta

Referências: Fonte §5.1, Fonte §6.4, Fonte §7.2.

Sem um seletor BIMI explícito, o seletor padrão é usado. Um seletor explícito é carregado no BIMI-Selector; não é automaticamente o valor do DKIM . Para uma mensagem de notices.example.com e seletor sazonal, o nome inicial é seasonal._bimi.notices.example.com . A seção 7.2, etapa 6, preserva esse seletor em seu algoritmo de fallback organizacional. No entanto, a seção 6.4 descreve o substituto para a asserção padrão no domínio Organização. Estas declarações entram em conflito com o draft -15. Este artigo descreve o algoritmo da seção 7.2, não um comportamento implantado universal: verifique a implementação pretendida do receptor antes de confiar em qualquer um dos substitutos. Publique a afirmação selecionada pretendida diretamente quando for prático, em vez de projetar em torno dessa inconsistência não resolvida.

O Draft -15 também descreve o comportamento do seletor de parte local por meio de lps. Esse é um recurso sensível à versão: documente qual implementação o suporta antes de projetar uma campanha em torno dele. O analisador do pacote de revisão privada não implementa normalização de parte local, autenticação de cabeçalho, cálculo de domínio organizacional ou cache de receptor.

Inspecione a resposta completa

Referências: Fonte §7.2.

A Registro TXT pode consistir em múltiplas cadeias de caracteres que formam um valor lógico. Isso difere de dois registros de asserção elegíveis separados. O procedimento de descoberta do rascunho será interrompido se o conjunto de registros elegíveis não for exclusivo. Consulte o conjunto completo e preserve os limites das citações na resposta capturada. Uma visualização do painel de controle DNS pode ocultar essa distinção.

Os casos do analisador limitado do pacote de revisão privada aceitam o exemplo comum dentro do subconjunto suportado, rejeitam asserções duplicadas, detectam tags l repetidas, rejeitam locais HTTP, rejeitam uma versão com case incorreto e aceitam um registro válido contendo uma tag futura desconhecida. Estes são testes de decisão executados, e não respostas observadas de um provedor de caixa de correio. Seu analisador estreito não deve ser instalado como validador de produção.

Faça uma correção controlada

Corrija o nome ou valor do registro específico, consulte novamente o servidor autoritativo e, em seguida, inspecione uma resposta recursiva após o intervalo de cache relevante. Guarde ambas as respostas e o registro anterior. Teste novamente o provedor receptor real antes de declarar a exibição restaurada. Alterando seletores DKIM , DMARC política ou roteamento de correio não é uma solução geral apropriada para um problema de sintaxe BIMI TXT .

[ Remover ]

Uma passagem de sintaxe não é um resultado de exibição do receptor.

[Por função]

O que isso significa para você

Escolha sua função para ver as próximas etapas práticas.

Administrador de TI/Correio

Capture conjuntos de registros, não capturas de tela de um valor

Mantenha vinculados o artefato técnico exato e o resultado observado.

Próximas etapas

  1. Capture conjuntos de registros, não capturas de tela de um valor.
  2. Retenha comandos, saídas e hashes para outro operador.

CISO/SecOps

Teste o remetente e o seletor exatos

Um sinal de logotipo não autoriza uma solicitação comercial nem substitui controles independentes.

Próximas etapas

  1. Teste o remetente e o seletor exatos.
  2. Preserve os controles de verificação de pagamento e comprometimento de contas.

Fundador / Não técnico

Manter a versão preliminar anexada às reivindicações do protocolo

Trate a experiência de marca desejada como um projeto com escopo definido e condições de lançamento visíveis.

Próximas etapas

  1. Mantenha a versão preliminar anexada às reivindicações do protocolo.
  2. Aprovar o lançamento apenas com as lacunas de evidências restantes declaradas.

[ Perguntas frequentes ]

Perguntas frequentes

O seletor BIMI é o seletor DKIM ?

Não. São mecanismos separados, mesmo que um operador escolha nomes semelhantes.

BIMI Internet-Draft -15 datado de 31 de outubro de 2026

Qual é o seletor padrão?

padrão, quando a mensagem aplicável não especifica outro seletor BIMI .

BIMI Internet-Draft -15 datado de 31 de outubro de 2026

Duas strings TXT sempre duplicam registros?

Não. As sequências de caracteres dentro de um registro de recurso TXT são unidas; registros separados são diferentes.

BIMI Internet-Draft -15 datado de 31 de outubro de 2026

As tags desconhecidas devem falhar em todo o registro?

Rascunho -15 diz que tags desconhecidas são ignoradas. Campos obrigatórios conhecidos e inválidos são um caso diferente.

O fallback sempre usa o padrão?

Draft -15 é internamente inconsistente: a seção 7.2, etapa 6, preserva o seletor selecionado, enquanto a seção 6.4 descreve o substituto padrão. Verifique a implementação pretendida em vez de assumir qualquer comportamento universalmente.

BIMI Internet-Draft -15 datado de 31 de outubro de 2026

O acessório é uma implementação completa BIMI ?

Não. Ele testa apenas o subconjunto de sintaxe documentado e os casos de exclusividade.

Uma etiqueta de autoridade opcional pode ser omitida para cada receptor?

Não. A sintaxe opcional no rascunho não substitui os requisitos de certificado do destinatário. O caminho de implantação documentado do Google requer um VMC ou CMC mesmo que o formato de declaração geral permita evidências de autoridade ausentes ou vazias.

Qual domínio inicia a pesquisa BIMI ?

O Draft -15 começa com o RFC5322 .From Author Domain e o seletor BIMI aplicável. A pesquisa não usa automaticamente o domínio do remetente do envelope ou o domínio de assinatura DKIM .

[ Fontes ]

Fontes

  1. BIMI Internet-Draft -15 datado de 31 de outubro de 2026

    Seções §4.3 · §5.1 · §6.4 · §7.2

  2. Google Workspace Configurar BIMI

    Seções Antes de começar · Requisitos SVG · Etapas 2–4

[ Glossário ]

Glossário

Seletor
Um nome que escolhe uma afirmação BIMI dentro de um domínio.
Sintaxe de tag-valor
Campos nomeados separados por ponto e vírgula com regras de análise especificadas.
Reserva organizacional
Uma pesquisa posterior de domínio organizacional. Draft -15 fornece descrições conflitantes de substitutos do seletor; veja a advertência de descoberta.

Proveniência da empresa

Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.

As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.

EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.

Governos Grandes empresas Instituições financeiras de nível 1

SaaS · Locação dedicada · Air gap no local · Criptografia BYOK

Base de conhecimento