I programmi di mittente verificato consentono a un brand di mostrare un'identità affidabile e verificata — nome, logo e badge — invece di una stringa mittente anonima. RCS usa Verified Sender / agenti business verificati, l'SMS usa sender ID registrati, e l'email usa un certificato VMC pubblicato tramite BIMI. Ciascuno lega il brand mostrato a una registrazione verificata, così i destinatari distinguono i mittenti genuini dai contraffattori.
- Invia il tuo pacchetto KYCLicenza commerciale, lettera di autorizzazione e campioni di messaggi
- BroadNet inoltra la domandaPresso gli operatori o l'autorità di regolamentazione, in base alle esigenze del mercato
- Revisione e approvazione
- Invia messaggi con il tuo brandIl tuo Sender ID approvato su ogni messaggio
Perché l'identità del mittente va verificata
I canali di messaggistica hanno storicamente permesso a un mittente di scegliere quasi qualsiasi identità: un sender ID alfanumerico SMS è solo una stringa, un indirizzo From email è auto-dichiarato, e nessuno dei due è autenticato sul filo. Proprio quell'apertura è ciò che phishing e smishing sfruttano — un messaggio fraudolento che mostra il nome o il logo di una banca è indistinguibile, per il destinatario, da uno reale. I programmi di mittente verificato colmano quel divario legando l'identità che il destinatario vede a una registrazione che la piattaforma ha verificato, e mostrando un segnale di fiducia visibile (un badge verificato, un logo del brand) che un contraffattore non può riprodurre. Tra RCS, SMS ed email i meccanismi differiscono, ma l'obiettivo è lo stesso: rendere dimostrabile il brand mostrato.
RCS Verified Sender e agenti business verificati
Su RCS, l'identità business è l'agente, e un agente verificato è uno che l'operatore e la piattaforma MaaP hanno vagliato tramite la verifica del brand prima del provisioning. Un agente verificato presenta il nome del brand, il logo, il colore del brand e un badge verificato nel client di messaggistica nativo, e il client può far emergere informazioni business aggiuntive (descrizione, sito web, dettagli di contatto). Poiché la verifica è ancorata alla catena operatore/MaaP anziché auto-dichiarata, un abbonato può fidarsi che un agente RCS con badge sia il brand reale. È per questo che RCS è posizionato come canale resistente al phishing: l'identità ricca e brandizzata è verificata, quindi un sosia contraffatto non può ottenere il badge.
| Canale | Identità verificata | Ancora di fiducia (trust anchor) |
|---|---|---|
| RCS | Agente aziendale verificato (nome, logo, colore, badge) | Verifica del brand da parte di operatore + MaaP |
| SMS | Sender ID registrato (alfanumerico / short code) | Registro dei sender ID di operatore / GSMA |
| Attività commerciale verificata (nome visualizzato, badge verde) | Verifica business Meta | |
| Il logo del marchio è mostrato accanto al messaggio | Certificato VMC pubblicato tramite BIMI |
Registrazione del sender-ID per l'SMS
Per l'SMS l'identità è l'indirizzo di origine — un sender ID alfanumerico, uno short code o un numero lungo — e in un numero crescente di mercati questi devono essere registrati prima che il traffico sia accettato. La registrazione collega un sender ID a un'entità legale verificata in un registro di operatore o allineato GSMA, così i sender ID non registrati o non corrispondenti possono essere bloccati o sovrascritti al confine della rete. Le normative variano ampiamente per paese: alcune impongono pre-registrazione e whitelisting, alcune riservano interamente i sender ID alfanumerici, e alcune sostituiscono un identificatore generico al traffico A2P non registrato. Una piattaforma di messaggistica riconcilia le regole sui sender ID di ciascun mercato di destinazione prima di instradare, perché un mittente non registrato in un mercato rigoroso viene semplicemente scartato.
VMC e BIMI: loghi verificati nell'email
Lo schema di mittente brandizzato dell'email è BIMI (Brand Indicators for Message Identification), che permette a un logo di brand verificato di apparire accanto ai suoi messaggi nei mailbox provider che lo supportano. BIMI non è una rivendicazione di fiducia autonoma — è stratificato sopra l'autenticazione email. Un dominio deve prima superare SPF e DKIM e applicare DMARC (una policy di quarantine o reject), poi pubblicare un record DNS BIMI che punta al logo e, per i provider che lo richiedono, a un Verified Mark Certificate (VMC). Un VMC è emesso da una certificate authority autorizzata solo dopo aver verificato che l'organizzazione possieda il marchio del logo. Così il logo mostrato è sostenuto sia dall'autenticazione del dominio sia da un controllo sul marchio — un contraffattore che non può superare DMARC né detenere il marchio non può mostrare il segno.
; DMARC must be at enforcement first
_dmarc.brand.example. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@brand.example"
; BIMI: l = logo (SVG Tiny PS), a = VMC evidence (PEM)
default._bimi.brand.example. TXT "v=BIMI1; \
l=https://brand.example/logo.svg; \
a=https://brand.example/vmc.pem"Anti-spoofing e anti-impersonificazione in pratica
L'identità verificata aiuta solo se anche il percorso non verificato è presidiato. Un'efficace anti-impersonificazione combina tre mosse: mostrare un'identità verificabile sul canale legittimo (agente verificato, sender ID registrato, logo BIMI); autenticare l'origine così che le falsificazioni falliscano (applicazione di DMARC per l'email, registrazione del sender-ID e filtraggio al confine per l'SMS, la catena operatore/MaaP per RCS); e monitorare i sosia (sender ID con omoglifi, domini simili, termini del brand in traffico non verificato). Poiché gli attaccanti si spostano su qualunque canale sia meno protetto, un brand alza la propria postura verificata su ogni canale contemporaneamente anziché uno alla volta — la stessa logica che tratta la fiducia nella messaggistica come un programma cross-canale anziché un'impostazione per prodotto.
| Rischio | Esempio | Controllo |
|---|---|---|
| Spoofing dell'ID mittente | SMS mostra l'ID alfanumerico di una banca | Registrazione del sender ID + filtraggio all'edge |
| Mittente simile | Omoglifo o stringa di marca quasi corrispondente | Verifica e monitoraggio del registro |
| Spoofing di email | From falsificato sul dominio del marchio | Applicazione SPF + DKIM + DMARC |
| Falsificazione di logo/badge | Logo del marchio falso nel client | VMC/BIMI (e-mail), agente verificato (RCS) |
| Pivot tra canali | L'attaccante si sposta sul canale più debole | Identità verificata su ogni canale |
Domande frequenti
Che cos'è un mittente verificato?
Un mittente verificato è un brand la cui identità mostrata — nome, logo e un badge di fiducia — è stata vagliata e legata a una registrazione dalla piattaforma, anziché essere una stringa auto-dichiarata. RCS usa agenti business verificati, l'SMS usa sender ID registrati, WhatsApp usa business verificati, e l'email usa un VMC pubblicato tramite BIMI.
Che cos'è RCS Verified Sender?
È il meccanismo RCS che vaglia un agente business tramite la verifica del brand dell'operatore e della piattaforma MaaP, poi mostra nome, logo, colore del brand e un badge verificato nel client di messaggistica nativo. Poiché il badge è ancorato alla catena dell'operatore e non può essere auto-dichiarato, un sosia contraffatto non può ottenerlo, ed è per questo che RCS è considerato resistente al phishing.
Che cos'è la registrazione del sender-ID?
È il processo di collegamento di un indirizzo di origine SMS (sender ID alfanumerico, short code o numero lungo) a un'entità legale verificata in un registro di operatore o allineato GSMA, così i sender ID non registrati o non corrispondenti possono essere bloccati o sostituiti al confine della rete. Le regole variano per paese, dalla rigorosa pre-registrazione e whitelisting alla riserva totale dei sender ID alfanumerici.
Che cosa sono VMC e BIMI?
BIMI (Brand Indicators for Message Identification) permette a un logo di brand verificato di apparire accanto all'email nei mailbox provider che lo supportano. Richiede che il dominio applichi DMARC e pubblichi un record DNS BIMI, e molti provider richiedono anche un VMC (Verified Mark Certificate) — emesso solo dopo che una CA conferma che l'organizzazione possiede il marchio del logo.
Perché BIMI richiede l'applicazione di DMARC?
BIMI mostra un logo come ricompensa per un dominio che è dimostrabilmente protetto contro lo spoofing. Quella protezione è DMARC applicato (una policy di quarantine o reject) sopra il superamento di SPF e DKIM. Senza DMARC applicato un contraffattore potrebbe falsificare il dominio, quindi i mailbox provider mostrano il logo BIMI solo una volta che le falsificazioni vengono già rifiutate.
Come i controlli di mittente verificato fermano l'impersonificazione?
Combinano un'identità mostrata verificabile sul canale legittimo, l'autenticazione dell'origine così che le falsificazioni falliscano (DMARC per l'email, registrazione del sender-ID e filtraggio al confine per l'SMS, la catena operatore/MaaP per RCS), e il monitoraggio di mittenti e domini sosia. Poiché gli attaccanti si spostano sul canale meno protetto, i brand alzano la postura verificata su ogni canale contemporaneamente.
Specifiche della fonte
Gli standard pubblicati su cui si basa questa pagina. Si apre in una nuova scheda.