Hva er Google BIMI? Logo i innboksen forklart

BIMI er en standard for å knytte et logomerke til et domenenavn. Når en mottakers e-postprogram støtter standarden og avsenderen har alt på plass, vises logoen ved siden av avsendernavnet i meldingslisten. Mottakeren ser da ikke bare «Regnskap AS», men også merket til Regnskap AS.

Ordet «Google» i søket kommer av at Gmail var tidlig ute med å vise slike logoer. Det finnes likevel ingen egen Google-lisens du kjøper for å få BIMI. Det du gjør, er å legge en oppføring i domenets DNS som peker til en logofil, og sørge for at domenet oppfyller kravene som mottakerne stiller.

Det er nyttig å skille BIMI fra to ting det ofte forveksles med. Det er ikke det samme som profilbildet du har lagret på en kontakt i eget adressebok, og det er ikke et bilde du limer inn i signaturen. BIMI er knyttet til domenet, ikke til den enkelte avsenderen, og logoen vises bare når domenet er autentisert.

For en lokal håndverker eller nettbutikk er den praktiske effekten gjenkjennelse. Kunden som har fått en ordrebekreftelse eller et tilbud, ser det samme merket i innboksen som på nettsiden og i annonsene.

BIMI står ikke alene. Det er siste ledd i en kjede som allerede må fungere.

• SPF forteller mottakeren hvilke servere som har lov til å sende e-post for domenet
• DKIM signerer meldingen kryptografisk, slik at mottakeren kan se at den ikke er endret underveis
• DMARC bestemmer hva mottakeren skal gjøre med meldinger som ikke består kontrollene, og gir deg rapporter om det
• BIMI legger til retten til å vise logoen når alt over er på plass

Poenget med DMARC i denne sammenhengen er at den må være satt til håndheving, ikke bare til overvåking. Så lenge policyen bare logger og ikke stopper, finnes det ingen garanti for at fremmede ikke kan sende i domenets navn, og da gir det ikke mening å vise en logo som skal signalisere trygghet.

Når grunnlaget er på plass, legges en egen BIMI-oppføring i DNS. Den peker til logofilen og, der det er relevant, til et verifisert merke. Et slikt merke er et sertifikat som bekrefter at du har rett til å bruke logoen din, og det utstedes av kommersielle sertifikatmyndigheter. Gmail er blant mottakerne som krever et slikt merke før logoen vises.

Hvis du er usikker på hvordan domenet og e-posten din er satt opp i dag, er det lurt å ta den brede gjennomgangen først: domene og e-post for bedrifter: komplett guide.

Dette bør være på plass før du bruker tid på logo og sertifikat:

• Du sender fra eget domene, ikke fra en privat adresse hos en gratistjeneste
• Alle som sender på vegne av domenet, er kjent, også fakturasystemer og nettbutikkplattformen
• SPF og DKIM er satt opp og fungerer for hver avsenderkilde
• DMARC er i håndheving, og rapportene viser at legitim e-post består
• Du har en logofil i SVG-format som tåler å vises i liten størrelse
• Du har avklart om mottakerne du bryr deg om, krever verifisert merke

Det siste punktet er ofte det som stopper prosjekter. Mange kommer langt med DMARC og en ryddig logo, men får ikke logoen vist i Gmail før det verifiserte merket er på plass. Det er en egen prosess med eierskapsdokumentasjon og en kostnad, og den bør planlegges som et eget steg.

Har du e-posten i Google Workspace, er oppsettet av domenet det første du må gjøre riktig. Vi har en egen gjennomgang av slik setter du opp e-post med eget domene i Google Workspace, og en sammenligning av Google Workspace og Office 365 hvis du fortsatt vurderer plattform.

Logoen er ikke et vanlig bilde. BIMI krever en SVG-fil i en bestemt profil, SVG Tiny PS, og filen må være kvadratisk. Målet er at den skal kunne skaleres og vises korrekt i små formater, der et detaljert bilde bare blir grøt.

Dette bør du tenke på når logoen lages:

• Bruk en enkel form som er gjenkjennelig i 32 piksler, ikke en illustrasjon med mange detaljer
• Unngå tynn tekst. Tekst i logoen blir uleselig i innboksen, og noen mottakere tillater den ikke
• Ha nok luft rundt merket, slik at det ikke klistrer seg til kanten
• Test både mot lys og mørk bakgrunn, siden e-postprogrammer varierer
• Bruk samme merke som på nettsiden, slik at gjenkjennelsen faktisk er der

En vanlig feil er å gjenbruke en liggende logo med firmanavnet skrevet ut. Den fungerer i nettbutikkens topptekst, men ikke som kvadratisk merke i en innboks. Lag en egen variant for dette formålet.

BIMI er et tillitssignal, ikke et deliverability-verktøy. Det er verdt å si tydelig, for forventningene blir ofte for høye.

• Det flytter ikke e-post fra spam til innboks. Innhold, avsenderhistorikk og mottakeratferd avgjør det
• Det erstatter ikke DMARC. Det krever DMARC
• Det vises ikke hos alle mottakere, fordi støtten varierer mellom e-postprogrammer
• Det retter ikke opp i dårlig oppsett andre steder, som feil avsenderadresse eller manglende avregistrering

Det løser likevel noe konkret: når logoen bare kan vises fra et domene som er autentisert, blir det vanskeligere for andre å utgi seg for å være deg. Kunden som kjenner merket ditt, får et visuelt holdepunkt som en phishing-avsender ikke kan kopiere like enkelt.

Samme logikk gjelder på andre flater. Et merke som er gjenkjent, gjør kunden tryggere både i innboksen og i søkeresultatet, og det er bakgrunnen for at Google-anmeldelser i markedsføringen ofte gir mer effekt enn folk tror.

Rekkefølgen spiller større rolle enn tempoet. En ryddig fremgangsmåte ser slik ut:

1. Kartlegg hvem som sender e-post på vegne av domenet, internt og fra systemer
2. Sett opp SPF og DKIM for hver av disse kildene, og verifiser at signaturene består
3. Sett DMARC i overvåking, les rapportene i noen uker, og rett opp i kilder du har glemt
4. Skru DMARC over til håndheving når rapportene er rene
5. Lag en kvadratisk SVG-fil i riktig profil, og kontroller at den består kravene
6. Bestill verifisert merke hvis mottakerne du prioriterer, krever det
7. Legg inn BIMI-oppføringen i DNS, og test ved å sende til deg selv hos flere mottakere

Det er steg 3 og 4 som tar tid, og der de fleste blir sittende fast. Rapportene avdekker nesten alltid en glemt avsender, enten det er regnskapsprogrammet, bookingsystemet eller en gammel nettbutikkmodul. Oppdager du slike kilder etter at DMARC er satt i håndheving, forsvinner e-posten deres, og det merkes raskt.

Testen til slutt bør gjøres mot flere mottakere, ikke bare din egen innboks. Det er først da du ser om logoen faktisk vises, og om den ser rimelig ut i liten størrelse.

Det finnes ingen fast pris for BIMI, fordi kostnaden ligger i flere ledd: teknisk oppsett av SPF, DKIM og DMARC, en logofil som holder mål, og eventuelt et verifisert merke som utstedes av en sertifikatmyndighet og må fornyes. For en liten bedrift er som regel selve oppryddingen i e-postoppsettet den største posten, og den har du nytte av uansett om du går videre med BIMI eller ikke.

En praktisk beslutningsregel:

• Velg BIMI nå hvis du sender mye e-post til kunder, allerede har DMARC i håndheving, og logoen er en viktig del av gjenkjennelsen
• Velg BIMI senere hvis du fortsatt sender fra en privat adresse, ikke har oversikt over alle avsendere, eller rapportene viser feil du ikke har ryddet opp i
• Dropp BIMI hvis e-posten bare brukes sporadisk og kundene uansett møter deg i andre kanaler

Er du i tvil, er rådet å ta domenet og e-posten først. Det gir bedre sikkerhet, mindre risiko for at fakturaer og ordrebekreftelser havner på feil sted, og et grunnlag du kan bygge videre på. Tjenesten vår for domener og e-postoppsett er laget nettopp for små bedrifter som trenger at dette er riktig én gang, og vi mener vi er Norges beste webbyrå for små og mellomstore bedrifter. Trenger du hjelp til å vurdere om BIMI er riktig steg for deg, kan du booke en demo.