BIMI, MTA-STS e TLS-RPT: o que são e quando valem a pena

Com SPF, DKIM e DMARC em ordem, sobram três siglas que aparecem cada vez mais em conversas sobre e-mail: BIMI, MTA-STS e TLS-RPT. Nenhuma delas é requisito para entregar, mas cada uma resolve um problema específico. Este guia explica o que são, o que exigem e quando vale a pena o esforço.

BIMI: o logo da marca na caixa de entrada

BIMI (Brand Indicators for Message Identification) permite que provedores compatíveis mostrem o logo da sua marca ao lado das mensagens autenticadas. O Gmail e o Apple Mail estão entre os que exibem, cada um com as próprias regras.

Pré-requisitos

• DMARC em modo de proteção: p=quarantine ou p=reject, aplicado a 100% das mensagens (sem pct menor que 100) e sem sp=none para subdomínios. Com p=none, o BIMI é ignorado. Veja o guia de DMARC para chegar lá com segurança.
• Logo em SVG no perfil "Tiny Portable/Secure" (SVG Tiny P/S), um formato restrito de SVG, quadrado e publicado em HTTPS.
• Certificado de marca, para os provedores que exigem:
  • VMC (Verified Mark Certificate): exige marca registrada. No Gmail, mostra o logo e o selo de remetente verificado.
  • CMC (Common Mark Certificate): não exige registro de marca, mas pede comprovação de que o logo já é usado publicamente pela empresa. No Gmail, mostra o logo sem o selo.
  Os dois são emitidos por autoridades certificadoras autorizadas, mediante validação, e são pagos.
• Boa reputação: mesmo com tudo configurado, cada provedor decide se exibe o logo.

O registro

Tipo:  TXT
Nome:  default._bimi
Valor: v=BIMI1; l=https://seudominio.com/bimi/logo.svg; a=https://seudominio.com/bimi/certificado.pem

l= aponta para o logo e a= para o certificado (VMC ou CMC).

Vale a pena?

Para marcas com volume relevante de e-mail para consumidores, sim: o logo reforça o reconhecimento e dificulta a vida de quem tenta se passar pela marca. Para quem ainda está em p=none, o BIMI é o incentivo para completar o DMARC, que é o ganho de verdade.

MTA-STS: TLS obrigatório para quem entrega no seu domínio

Por padrão, a criptografia entre servidores de e-mail é oportunista: se alguém no meio do caminho remover a oferta de TLS, a mensagem pode seguir sem criptografia. O MTA-STS (RFC 8461) permite que o seu domínio diga aos servidores que enviam para você: "só entregue aqui com TLS e com um certificado válido para estes MX".

Ou seja, ele protege o e-mail que você recebe. Não muda a entrega das mensagens que você envia.

Como publicar

São duas partes. Um registro TXT que anuncia a política:

Tipo:  TXT
Nome:  _mta-sts
Valor: v=STSv1; id=20261105

E um arquivo de política em https://mta-sts.seudominio.com/.well-known/mta-sts.txt:

version: STSv1
mode: testing
mx: mail.seudominio.com
max_age: 86400

• mode: testing (só reporta falhas), enforce (recusa entregas sem TLS válido) ou none (desativa).
• mx: os servidores MX aceitos, um por linha. Aceita curinga, como *.seudominio.com.
• max_age: por quantos segundos os remetentes guardam a política em cache.
• id (no TXT): mude o valor sempre que alterar o arquivo, para os remetentes buscarem a versão nova.

Pré-requisitos: todos os MX com certificado TLS válido para o próprio hostname, e o subdomínio mta-sts servindo o arquivo em HTTPS, também com certificado válido. Comece em testing e só passe para enforce depois de ler os relatórios do TLS-RPT.

TLS-RPT: relatórios de falha de TLS

O TLS-RPT (RFC 8460) é o complemento: os servidores que entregam no seu domínio mandam relatórios diários dizendo quantas conexões negociaram TLS com sucesso e quais falharam, e por quê.

Tipo:  TXT
Nome:  _smtp._tls
Valor: v=TLSRPTv1; rua=mailto:tls-reports@seudominio.com

É o mais simples dos três: um registro só, sem pré-requisitos. Vale publicar mesmo sem MTA-STS, para descobrir certificados vencidos ou MX mal configurados antes que virem problema.

E o DANE?

O DANE para SMTP resolve o mesmo problema do MTA-STS usando registros TLSA publicados no DNS. Ele exige DNSSEC no seu domínio. Se o seu DNS já tem DNSSEC, é uma alternativa ou um complemento ao MTA-STS.

Por onde começar

1. TLS-RPT: cinco minutos de DNS, só traz informação.
2. MTA-STS em testing: quando você controla os certificados dos seus MX.
3. BIMI: depois que o DMARC estiver em quarantine ou reject há algum tempo, sem surpresas nos relatórios.

Nenhum dos três substitui o básico. Se o Rapid Cloud MailTester ainda aponta problemas de SPF, DKIM, DMARC ou DNS reverso, resolva esses primeiro.

Na Rapid Cloud: a hospedagem de sites e a revenda incluem SMTP dedicado e AntiSPAM SPFBL. Para dúvidas sobre os registros DNS do seu domínio, abra um chamado na Central do Cliente e fale com o suporte. E teste a sua mensagem no MailTester para ver como anda a autenticação.