※本記事にはアフィリエイト広告（PR）を含みます。
BIMI(Brand Indicators for Message Identification)は、送信ドメインが認証済みメールに自社ロゴを表示できる仕組みだ。仕組み自体はシンプルだが、表示までこぎ着けるにはDMARCの強制ポリシーや、商標登録を前提とする証明書(VMC/CMC)といったハードルがある。
本稿では、BIMIの仕組みと導入要件、DNSでの設定手順を、構築・運用する立場から整理する。対応状況は受信側メールプロバイダの裁量に依存し、変更されることもあるため、導入前後で必ずbimigroup.org(BIMI Group)や各プロバイダの公式情報を確認してほしい。
BIMIとは
BIMIは、送信ドメインがDNS上にSVG形式のロゴを公開し、対応するメールプロバイダがDMARC認証をパスしたメールとともにそのロゴを受信トレイに表示できるようにする仕様だ。仕様の策定・管理はAuthIndicators Working Group(通称BIMI Group、bimigroup.org)が行っている。
押さえておきたいのは、BIMI自体は迷惑メール判定や到達率を直接改善する仕組みではない点だ。BIMIは「DMARCで厳格に認証されたメールにだけロゴ表示という特典を与える」表示レイヤーであり、認証に失敗したメールやなりすましメールにはロゴが付与されない。結果として、正規のメールとなりすましメールを受信者が視覚的に区別しやすくなる、というのが主なメリットになる。ロゴ表示で開封率が上がったという話も見かけるが、効果はブランドの認知度や配信内容に左右されるため、過度な期待は禁物だ。
導入の前提条件
BIMIは単体の設定だけでは機能せず、次の条件をすべて満たす必要がある。
SPF/DKIMのアライメントとDMARCの強制
BIMI Groupの実装ガイドは、組織ドメイン(および利用するサブドメイン)のDMARCポリシーが「p=quarantine」または「p=reject」による強制(enforcement)状態にあることを要件としている。sp=タグも同じ強制レベルにし、加えてpct=100が必須だ。pctが100未満やp=noneのドメインはBIMIの対象にならない。前提としてSPFまたはDKIM(できれば両方)がFromドメインとアライメントしている必要がある。いきなりp=rejectにするのは配信事故のリスクが大きく、p=noneで送信元を洗い出してから段階的に強制へ引き上げるのが一般的だ。
SVG Tiny PS形式のロゴ
表示するロゴは任意のSVGではなく、「SVG Tiny PS(Portable/Secure)」というプロファイルへの準拠が必要だ。W3CのSVG Tiny 1.2をベースに、外部参照・スクリプト・アニメーションなど表示上安全でない要素を禁止した、より制約の強いプロファイルになる。具体的にはbaseProfile属性を”tiny-ps”、version属性を”1.2″とし、企業名を反映した<title>要素を含め、<svg>ルート要素にx=/y=属性を持たせないことが求められる。正方形で中央配置、背景は透過ではなく単色、ファイルサイズは32KB以下が推奨だ。Gmailはさらに、幅・高さを絶対値(px)で96以上に指定することも求めている。
VMC・CMC(証明書)
BIMIの仕様上、ロゴの権利関係を証明する第三者証明書は本来「任意」だ。しかしGmailをはじめ主要プロバイダの多くは、証明書のない自己主張(self-asserted)ロゴを受け付けない。証明書には2種類あり、VMC(Verified Mark Certificate)は対象ロゴが管轄の知的財産庁に商標登録済みであることが前提になる。CMC(Common Mark Certificate)は2024年にGmailが対応を発表した新しい証明書で、商標登録がなくても発行され得る点がVMCと異なる。VMCの要件文書には国別手続きとして日本向けの項目もあり、日本国内の商標登録も対象法域に含まれる。いずれも発行元は認定されたMVA(Mark Verifying Authority)で、bimigroup.orgの一覧には本稿執筆時点でDigiCert、GlobalSign、SSL.comが掲載されている(掲載状況は変わるため、契約前に最新の一覧を確認してほしい)。
設定手順
1. ロゴをSVG Tiny PSで準備する
まず正方形のロゴを、前述のSVG Tiny PS要件に沿って作成する。Illustratorで「SVG Tiny 1.2としてエクスポート」した後でも、baseProfileの修正、x=/y=属性の削除、<title>要素の追加といった手直しがほぼ必須だ。bimigroup.orgが公開するSVG変換ツールやバリデータで要件を満たすか確認しておくと、後工程の手戻りを減らせる。作成したSVGは常時アクセス可能なHTTPSのURLに置き、Content-Typeがimage/svg+xmlで返るようにしておく。
2. VMC(またはCMC)を取得する
VMCで進める場合、まずロゴの商標登録が完了している必要がある。未登録なら登録手続きから着手することになり、法域によっては審査に数ヶ月単位の期間を見込む必要がある。商標登録済み、あるいはCMCで進める場合は、bimigroup.orgのMVA一覧にある認証局にSVGロゴと権利関係の証跡を提出し、審査を受ける。発行されるとエンティティ証明書・中間CA証明書・ルートCA証明書を発行順に連結したPEMファイルを受け取るので、これもHTTPSのURLに配置する。証明書の有効期間は最長398日(約1年)で、失効前に更新が必要だ。
3. BIMIレコードをDNSで公開する
最後に、組織ドメインのDNSに以下のようなTXTレコードを追加する。
default._bimi.example.co.jp. IN TXT "v=BIMI1; l=https://example.co.jp/brand/logo.svg; a=https://example.co.jp/brand/certificate.pem"
ホスト名はdefault._bimi.に組織ドメインを続けたもの、種別はTXT、値はv=、l=(ロゴSVGのURL)、a=(証明書PEMのURL)をセミコロンで区切って並べる。証明書を使わない自己主張運用ならa=タグを省略し、l=タグのみでも構わない(ただしGmailなど証明書必須のプロバイダでは表示対象にならない)。公開後は、digなどでTXTレコードが正しく引けるか、curl -Iでロゴ・証明書のURLが200とimage/svg+xml等の正しいContent-Typeを返すかを確認する。反映やキャッシュの都合で、表示され始めるまで数時間〜数日かかることがある。
対応プロバイダと注意点
BIMIの対応状況はプロバイダごとに異なり、しかも変更されることがある。導入前には必ずbimigroup.orgの対応状況ページや各プロバイダの公式サポートページで最新情報を確認してほしい。本稿執筆時点(2026年7月)で確認できた範囲では、次のような傾向がある。
Gmailは証明書(VMCまたはCMC)のない自己主張ロゴを受け付けず、VMC検証済みの送信者にはチェックマークも表示する。Apple Mail(iOS 16/iPadOS 16/macOS Ventura以降、iCloud.com)もBIMI標準に加えApple独自の要件を満たす必要があり、実質的に証明書が前提だ。Yahoo Mail(Yahoo!・AOL)は証明書なしの自己主張ロゴでも表示対象になり得るが、バルクメールであること、DMARCが強制されていること、送信元の評判・エンゲージメントが十分であることが条件で、個人間メールには表示されない。Microsoft 365/Outlook.comは通常の受信メールでBIMIロゴに対応していないとの情報が複数あるが、Microsoft公式の一次情報では確認できておらず、導入検討時は要確認だ。
コスト面では、VMC/CMCは認証局ごとに年額のサブスクリプション料金がかかる。DigiCertが自社サイトで公開している価格例では年間1,400ドル前後だ(本稿執筆時点、要確認)。VMCの場合はこれに加え、商標登録そのものの費用・期間も別途発生する。商標が未登録、または費用対効果が見合わない場合は、CMCや自己主張運用から始め、対応プロバイダの広がりを見ながら投資判断をするのも現実的だ。
最後に、DMARCの強制・SVGロゴ・証明書をすべて満たしても、ロゴ表示は保証されない。表示するかどうか、どのタイミングで表示するかは各プロバイダの裁量であり、送信ドメインの評判やキャッシュ状態にも左右される。BIMIは「うまくいけばブランドの視認性が上がる」加点要素であり、DMARC強制自体が持つなりすまし対策としての価値とは分けて評価すべきだ。
BIMIやメール認証の設定には、独自ドメインとロゴ・証明書をHTTPSで公開できる環境が要ります。ドメインとレンタルサーバーをまとめて用意すると設定がスムーズです。
まとめ
BIMIを導入するには、(1)SPF/DKIMがアライメントし、DMARCがp=quarantineまたはp=reject・pct=100で強制されていること、(2)SVG Tiny PS形式の正方形ロゴを用意すること、(3)Gmailなどでの表示を狙うならVMCまたはCMCを認定MVAから取得すること、(4)これらをBIMIレコードとしてDNSに公開すること、の4点が必要になる。すでにDMARCを強制運用できている組織なら、追加のハードルはロゴの整形と証明書取得のコスト・期間に絞られる。DMARCがp=noneのままなら、BIMIより先にDMARC運用の強化に着手すべきだ。対応プロバイダや証明書発行元の一覧は今後も変わり得るため、実装前後で必ずbimigroup.orgと各プロバイダの公式情報を確認してほしい。
最終更新：2026年7月
