BIMI Nedir ve E-posta Logosu Nasıl Gösterilir?

Sesli Dinle — Makale

BIMI (Brand Indicators for Message Identification), e-posta uygulamalarında göndericinin marka logosunun gösterilmesini sağlayan bir mekanizmadır. DMARC (Domain-based Message Authentication, Reporting, and Conformance) ile doğrulanan gönderim akışları için kullanılacak logoyu DNS üzerinden bildirir. Göndericinin ileti gövdesine veya ekine resim koymasından farklıdır; alıcı e-posta hizmeti sağlayıcısı DNS kaydını, logo dosyasını ve varsa marka sertifikasını denetledikten sonra logoyu kendi arayüzünde gösterebilir.

BIMI tek başına göndereni doğrulayan bir güvenlik katmanı değildir. Bir alan adını kullanarak posta göndermeye yetkili IP adreslerini denetleyen SPF (Sender Policy Framework) veya iletiyi alan adıyla ilişkilendirilmiş kriptografik imzayla doğrulayan DKIM (DomainKeys Identified Mail) sonucunu e-posta uygulamasında görünen From (Gönderen) alan adıyla ilişkilendiren DMARC üzerine kurulur; bu nedenle önce gönderim altyapısında SPF, DKIM ve DMARC doğru yapılandırılmalıdır.

BIMI logosu, iletinin içeriğinin zararsız olduğunu veya iletinin gelen kutusuna ulaşacağını kanıtlamaz. Teknik gereksinimler eksiksiz olsa bile logo gösterimi garanti edilmez. Alıcı e-posta hizmeti sağlayıcısının BIMI desteği, sertifika koşulları, gönderici itibarı, yerel politikaları ve önbellekleme davranışı sonucu etkileyebilir.

BIMI Logo Gösterimi İçin Gereken Bileşenler

• Gönderilen iletilerin DMARC'tan geçmesi için SPF veya DKIM doğrulamalarından en az biri başarılı olmalı ve doğrulanan alan adı görünen From alan adıyla hizalanmalıdır. Güncel DMARC standardına tam katılım için gönderim altyapısında hem SPF hem DKIM hizalı biçimde yapılandırılmalıdır.
• Kuruluş alan adı düzeyinde p=quarantine (başarısız iletiyi şüpheli sayma) veya p=reject (reddetme) politikası bulunmalı; gönderimde kullanılan alt alan adına uygulanan politika da p=quarantine, p=reject, sp=quarantine veya sp=reject biçiminde yaptırım düzeyinde olmalıdır.
• Marka logosu, SVG biçiminin güvenlik için kısıtlanmış SVG Tiny PS (Portable/Secure) profiline uygun olmalı ve şifreli bağlantı sağlayan HTTPS üzerinden herkese açık biçimde barındırılmalıdır.
• Alan adının DNS bölgesinde logo adresini ve varsa marka sertifikasını bildiren metin türündeki bir BIMI TXT kaydı yayımlanmalıdır.
• Logo kullanım hakkını doğrulayan VMC (Verified Mark Certificate) veya CMC (Common Mark Certificate) gereksinimi ve logonun gösterilip gösterilmeyeceği alıcı e-posta hizmeti sağlayıcısının politikasına bağlıdır.

BIMI Logo Gösterim Akışı Nasıl İşler?

BIMI, e-posta gönderildiği anda logoyu mesaja iliştiren bir yöntem değildir. İşlem, alıcı e-posta hizmeti sağlayıcısının iletiyi kabul ederken yaptığı kimlik doğrulama ve DNS sorgularıyla ilerler.

1. İletide tek bir From alanı ve bu alanda tek bir gönderici adresi bulunur.
2. Alıcı sistem SPF ve DKIM sonuçlarını denetler. Normal akışta en az bir başarılı doğrulamanın alan adı, DMARC kapsamında görünen From alan adıyla hizalanmalıdır.
3. DMARC sonucu ve uygulanabilir politika BIMI koşullarını karşılıyorsa alıcı, gönderen alan adının BIMI seçicisine ait TXT kaydını sorgulayabilir.
4. DNS kaydındaki logo adresi ve varsa VMC veya CMC türündeki marka sertifikası alınarak dosya biçimi, erişilebilirlik ve sertifika ilişkisi kontrol edilir.
5. Alıcı e-posta hizmeti sağlayıcısı kendi destek, itibar ve görüntüleme kurallarını uyguladıktan sonra logoyu ileti listesinde veya ileti görünümünde gösterebilir.

Yönlendirme nedeniyle DMARC başarısız olursa BIMI taslağı, alıcının güvenilir ek doğrulama bilgilerini kullanarak işleme devam etmesine izin verir. Bu istisna alıcının kararına bağlıdır; gönderim altyapısındaki DMARC hatalarını düzeltmenin yerine geçmez.

Gönderide BIMI-Selector (BIMI Seçici) başlığı bulunmuyorsa varsayılan seçici default değeridir. Farklı kampanyalar veya markalar için başka seçiciler kullanılabilir; bu durumda BIMI-Selector başlığındaki seçici ile DNS kaydının adı eşleşmelidir.

BIMI Neden DMARC Yaptırım Politikası Gerektirir?

DMARC, görünen From alan adı ile SPF ya da DKIM tarafından doğrulanan alan adı arasında ilişki kurar. SPF sonucu başarılı olsa bile MAIL FROM zarf gönderen adresinin alan adı görünen From alan adıyla hizalanmıyorsa bu sonuç DMARC için yeterli değildir. Böyle bir ileti ancak görünen From alan adıyla hizalı, geçerli bir DKIM imzası varsa DMARC doğrulamasından geçer.

BIMI için yalnızca DMARC kaydı bulunması yeterli değildir. Politikanın p=quarantine veya p=reject düzeyinde uygulanması gerekir; p=none gözlem politikası logo gösterimi için yeterli kabul edilmez. Mayıs 2026 tarihli güncel BIMI çalışma taslağı, p=quarantine kullanılan eski bir DMARC kaydında politikanın uygulanacağı ileti yüzdesini belirten pct etiketi varsa değerin 100 olmasını ister; güncel DMARC standardı ise pct etiketini kaldırmıştır. Alt alan adlarından gönderim yapılıyorsa o alt alan adına uygulanan politika da yaptırım düzeyinde olmalıdır. BIMI taslağı, kuruluş alan adının veya görünen From alan adının DMARC kaydında sp=none bulunmasını da uygun kabul etmez.

p=reject seçildiğinde yalnız SPF başarısına dayanmak yeterli değildir; güncel DMARC standardı gönderilen iletilerin geçerli DKIM imzaları taşımasını gerektirir. Kullanıcıları internet posta listelerine ileti gönderen alan adlarında p=reject önerilmez; yönlendirme ve liste akışlarına etkisi değerlendirilmelidir.

Bu nedenle BIMI kurulumu öncesinde web sitesi, destek sistemi, toplu gönderim hizmeti, kurumsal posta ve otomatik bildirimler gibi bütün meşru kaynaklar envantere alınmalıdır. DMARC politikasını doğrulama yapmadan sertleştirmek, hizalanmayan meşru iletilerin karantinaya alınmasına veya reddedilmesine yol açabilir.

BIMI DNS Kaydı Hangi Bilgileri Taşır?

BIMI kaydı, seçici._bimi.alan-adı biçimindeki ad altında yayımlanan bir DNS TXT kaydıdır. Örneğin example.com için varsayılan konum default._bimi.example.com olur. Kayıt logo görselini DNS içinde saklamaz; alıcı sistemin erişeceği dosyaların HTTPS adreslerini bildirir.

BIMI henüz yayımlanmış bir RFC (Request for Comments) standardı değildir. Ayrıntıları IETF Datatracker'da bulunan bireysel bir çalışma taslağında tanımlanır. Bu nedenle avp= ve lps= gibi yeni seçeneklerin desteği e-posta hizmetine göre değişebilir.

• Sürüm bilgisi, zorunlu ve ilk sıradaki v=BIMI1 değeriyle kaydın BIMI biçiminde olduğunu belirtir.
• Logo konumu, zorunlu l= etiketiyle BIMI uyumlu SVG dosyasının HTTPS adresini, yani URI (Uniform Resource Identifier) değerini gösterir. Logo sertifika dosyasından alınacaksa l= değeri boş bırakılabilir.
• Sertifika konumu, isteğe bağlı a= etiketiyle VMC veya CMC dosyasının adresini gösterir; etiket yoksa boş değer varsayılır.
• Avatar tercihi, destekleyen e-posta hizmetlerinde avp=brand veya avp=personal değeriyle marka logosuna ya da kişisel avatara öncelik verilmesini ister; etiket yoksa avp=brand varsayılır.
• Yerel bölüm seçicisi, güncel çalışma taslağındaki lps= etiketiyle gönderen adresinin @ işaretinden önceki bölümünü ayrı bir seçici olarak kullanmayı etkinleştirir. Etikete değer yazılırsa sorgulanacak adresler belirtilen başlangıç karakterleriyle sınırlandırılabilir.

v=BIMI1; l=; a=; biçiminde hem l= hem a= değerini boş bırakan kayıt, o alan adı ve seçici için BIMI göstergesi yayımlamama kararını açıkça bildirir.

Yanlış seçici altında yayımlanan kayıt, erişilemeyen dosya adresi, hatalı HTTPS yapılandırması veya birbiriyle uyuşmayan logo ve sertifika dosyaları alıcı e-posta hizmeti sağlayıcısının BIMI doğrulamasını tamamlayamamasına neden olabilir.

VMC ve CMC ile Logo Hakkının Doğrulanması

Marka sertifikaları, alan adının belirli bir logoyu kullanma hakkının bağımsız bir doğrulama sürecinden geçtiğini gösterir. Sertifika zorunluluğu tüm e-posta hizmeti sağlayıcılarında aynı değildir; bazıları marka sertifikası olmadan yayımlanan, self-asserted BIMI kayıtlarını değerlendirebilirken bazıları VMC veya CMC ister.

Aşağıdaki karşılaştırma, üç temel yayınlama biçiminin doğrulama farkını gösterir.

Önceki kullanıma dayalı CMC için logo, başvuru sahibinin denetimindeki aynı alan adında doğrulamadan en az 12 ay önce de gösterilmiş olmalıdır. Haziran 2026 tarihli sertifika kurallarındaki Provisional Mark yöntemi ise başvuruda sunulan dayanak markanın en az üç yıl önce tescil edilmiş olmasını gerektirir; sertifikaya konacak logo bu markanın görünümünden farklı olabilir. Sertifika kuruluşunun hangi yöntemi sunduğu ve alıcı e-posta hizmetinin kabul koşulları ayrıca kontrol edilmelidir.

VMC ve CMC, BIMI için marka sertifikası vermeye yetkili MVA (Mark Verifying Authority) olarak görev yapan marka doğrulama kuruluşları tarafından düzenlenir. Logo hakkını kanıtlayan belgeler ve hedef e-posta hizmeti sağlayıcılarının güncel koşulları, VMC ile CMC arasındaki seçimi belirler.

BIMI Logo Dosyası ve Barındırma Koşulları

BIMI logosu sıradan bir PNG, JPEG veya genel amaçlı SVG dosyası değildir. Dosyanın güvenli ve kısıtlı bir SVG profili olan SVG Tiny PS kurallarına uyması, genel internetten HTTPS üzerinden indirilebilmesi ve alıcı sistemlerin dosyayı ek oturum açma adımı olmadan alabilmesi gerekir.

Logo dosyası uzun süre kullanılabilecek, kuruluşun denetimindeki bir HTTPS adresinde tutulmalıdır. Logo içeriği değiştirilirse BIMI kaydındaki adres güncel dosyaya ulaşmalı; VMC veya CMC kullanılıyorsa sertifika belirli logo içeriğiyle bağlantılı olduğundan sertifikanın yeniden düzenlenmesi veya güncellenmesi gerekebilir.

BIMI Kurulumunda DMARC, Logo Dosyası ve DNS Kaydı

1. Görünen From alanında kullanılan bütün alan adlarını, alt alan adlarını ve gönderim hizmetlerini listeleyin.
2. SPF ve DKIM doğrulamasını her gönderim kaynağı için denetleyin; en az bir yöntemin DMARC ile hizalı geçtiğini doğrulayın.
3. DMARC raporlarını izleyerek hizalanmayan meşru gönderimleri düzeltin ve uygun yaptırım politikasına kontrollü biçimde geçin. p=reject seçmeden önce DKIM koşulunu ve posta listeleriyle uyumluluğu değerlendirin.
4. Logoyu SVG Tiny PS biçiminde hazırlayın ve kuruluşunuzun denetimindeki bir HTTPS adresinde herkese açık biçimde barındırın.
5. Hedef e-posta hizmeti sağlayıcılarının koşullarına göre sertifikasız kayıt, VMC veya CMC seçeneklerinden uygun olanı belirleyin.
6. BIMI TXT kaydını doğru seçici altında yayımlayın; logo ve sertifika adreslerinin erişilebilir ve birbiriyle uyumlu olduğunu kontrol edin.
7. Farklı gönderim akışlarından deneme iletileri gönderin ve sonucu tek bir uygulamaya bakarak değil, BIMI'yi destekleyen farklı e-posta hizmetlerindeki davranışla değerlendirin.

BIMI Logosu Neden Görünmeyebilir?

• Alıcının e-posta hizmeti sağlayıcısı veya e-posta uygulaması BIMI'yi desteklemiyor olabilir.
• İleti SPF ya da DKIM doğrulamasından geçse bile görünen From alan adıyla DMARC hizalaması sağlanmamış olabilir.
• DMARC politikası p=none düzeyinde kalmış, p=quarantine kullanılan eski kayıttaki pct değeri 100'den düşük veya alt alan politikası yaptırım düzeyinin altında olabilir.
• BIMI TXT kaydı yanlış seçicide bulunabilir ya da logo ve sertifika adresleri dışarıdan erişilemiyor olabilir.
• SVG dosyası BIMI profilini karşılamıyor, sertifika süresi dolmuş veya sertifikadaki logo yayımlanan dosyayla eşleşmiyor olabilir.
• Alıcı e-posta hizmeti sağlayıcısı gönderici itibarı, istenmeyen posta sinyalleri, hacim veya kendi yerel politikası nedeniyle logoyu göstermemeyi seçebilir.

DNS değişikliğinin doğru görünmesi de anında logo gösterileceği anlamına gelmez. DNS önbellekleri, dosya önbellekleri ve alıcı e-posta hizmeti sağlayıcısının değerlendirme süreci nedeniyle farklı kullanıcılar aynı anda farklı sonuç görebilir.

Logonun görünmemesi de iletinin mutlaka sahte olduğu anlamına gelmez; destek ve görüntüleme kararları alıcı e-posta hizmeti sağlayıcısına göre değişir.