سلسلة الشهادات: ما هي هيئة التحقق من العلامات (MVA)؟

لا تُصدر شهادة Verified Mark Certificate (VMC) من أي سلطة إصدار شهادات كانت. فلكي تتمكن أي سلطة من إصدار شهادات VMC، يجب عليها أولاً الحصول على صفة هيئة التحقق من العلامات (MVA) — وهي صفة لا تُمنح إلا بعد استيفاء مجموعة صارمة من المتطلبات التقنية والتشغيلية ومتطلبات التدقيق التي حددتها مجموعة عمل AuthIndicators (المعروفة عموماً باسم مجموعة BIMI).

من الضروري فهم منظومة MVA قبل شراء شهادة VMC. فالشراء من مصدر غير معتمد يعني أن شهادتك لن تُعترف بها من Gmail أو Apple Mail أو أي عميل بريد إلكتروني آخر يدعم BIMI — ولن يظهر شعار علامتك التجارية في صندوق الوارد.

---

ما هي هيئة التحقق من العلامات؟

هيئة التحقق من العلامات (MVA) هي سلطة إصدار شهادات حصلت على موافقة رسمية من مجموعة عمل AuthIndicators لإصدار شهادات VMC. تؤدي هيئة MVA وظيفتين حاسمتين:

1. التحقق من العلامة التجارية — التأكد من أن المؤسسة المتقدمة للحصول على شهادة VMC هي المالك الشرعي للعلامة التجارية المرتبطة بالشعار.
2. إصدار الشهادة — إصدار شهادة VMC موقّعة تشفيرياً تربط العلامة التجارية المُتحقق منها بملف شعار SVG ونطاق معين.

تثق جهات استقبال البريد مثل Google وApple فقط بشهادات VMC الصادرة من هيئات MVA المعتمدة. إذا صدرت الشهادة من سلطة خارج هذه القائمة المعتمدة، يفشل التأكيد الكامل لـ BIMI بصمت — لا يُعرض أي شعار، ولا يُبلَّغ المرسل بأي خطأ.

---

هيئات MVA المعتمدة حتى عام 2025

تحتفظ مجموعة عمل AuthIndicators بالقائمة الرسمية لهيئات MVA المعتمدة. اعتباراً من عام 2025، تحمل ثلاث سلطات إصدار شهادات صفة MVA:

| MVA | ملاحظات | |---|---| | DigiCert | أول هيئة MVA معتمدة؛ تُصدر شهادات VMC تحت علامة DigiCert | | Sectigo | تُصدر شهادات VMC؛ تتمتع بتاريخ قوي في S/MIME وتوقيع الأكواد | | GlobalSign | تُصدر شهادات VMC؛ حضور قوي في البنية التحتية للمفاتيح العامة للمؤسسات |

مهم: تتغير هذه القائمة مع إتمام سلطات جديدة لعملية الاعتماد. تحقق دائماً من حالة MVA الحالية على موقع مجموعة عمل AuthIndicators قبل الشراء.

---

كيف تصبح سلطة إصدار الشهادات هيئة MVA

عملية الاعتماد صارمة عن قصد. يجب على السلطة استيفاء كل متطلب أدناه قبل أن تمنحها مجموعة BIMI صفة MVA.

1. نشر بيان ممارسات الشهادات (CPS)

يجب على السلطة نشر بيان ممارسات الشهادات — وهو وثيقة عامة مفصلة تصف بالضبط كيفية إصدار شهادات VMC وإدارتها وإلغائها وتجديدها. يجب أن يتناول البيان تحديداً إجراءات إصدار VMC وسير عمل التحقق من العلامات التجارية.

2. التسجيل في سجلات شفافية الشهادات (CT)

يجب تقديم كل شهادة VMC صادرة إلى سجلات Certificate Transparency — وهي سجلات قابلة للتدقيق علنياً، تعمل بنظام الإضافة فقط، لجميع الشهادات الصادرة. يتيح هذا لجهات استقبال البريد والباحثين وأصحاب النطاقات اكتشاف الشهادات الصادرة بشكل خاطئ أو الاحتيالية.

3. إنشاء بنية تحتية لإلغاء الشهادات

يجب على السلطة تشغيل وصيانة قوائم إلغاء الشهادات (CRLs) — أو مستجيبات OCSP المكافئة — بحيث يمكن إلغاء شهادات VMC المخترقة أو الصادرة بشكل خاطئ على الفور. تتحقق جهات استقبال البريد من حالة الإلغاء قبل عرض الشعار.

4. الخضوع لتدقيقات WebTrust لـ VMC

يجب على السلطة تكليف مدقق خارجي معتمد بإجراء تدقيق WebTrust لـ VMC واجتيازه. تُقيّم تدقيقات WebTrust مدى تطابق الممارسات الفعلية للسلطة مع بيان CPS المنشور. تتكرر هذه التدقيقات سنوياً، مما يخلق عبء امتثال مستمر.

5. التسجيل في قاعدة CCADB

يجب تسجيل السلطة في قاعدة بيانات السلطات المشتركة (CCADB) — وهي المستودع المشترك الذي تستخدمه Mozilla وMicrosoft وApple وGoogle لتتبع سلطات إصدار الشهادات الموثوقة. التسجيل في CCADB شرط أساسي لأي سلطة تسعى للحصول على ثقة مزودي المنصات الرئيسيين.

---

لماذا تكلف شهادات VMC ألف دولار أو أكثر

إن بنية الامتثال التحتية الموصوفة أعلاه مكلفة في بنائها وصيانتها. يجب على كل هيئة MVA معتمدة:

• تمويل تدقيقات WebTrust السنوية (عادةً عشرات الآلاف من الدولارات لكل دورة تدقيق)
• تشغيل خطوط أنابيب تقديم عالية التوافرية لسجلات CT
• صيانة بنية CRL وOCSP على مدار الساعة طوال أيام الأسبوع
• توظيف فرق التحقق من العلامات التجارية القادرة على التحقق من ملكية الملكية الفكرية عبر سجلات العلامات التجارية العالمية
• الحفاظ على التسجيل في CCADB والاستجابة لتغييرات السياسات من مزودي المتصفحات ومنصات البريد

تُحمَّل هذه التكاليف على المشترين. يجب التعامل بحذر مع أي شهادة VMC بسعر أقل من سعر السوق البالغ 1,000–1,500 دولار سنوياً — فقد يشير ذلك إلى أن السلطة المُصدِرة لم تكمل عملية اعتماد MVA الكاملة.

---

لماذا يهم هذا عند شراء شهادة VMC

فقط هيئات MVA المعتمدة تُنتج شهادات مقبولة

يتحقق Gmail وApple Mail من سلسلة الشهادات بأكملها قبل عرض شعار BIMI. إذا لم تكن السلطة المُصدِرة على قائمة MVA المعتمدة، يفشل التحقق من السلسلة ولا يُعرض أي شعار. لا يوجد بديل، ولا تحذير، ولا عرض جزئي.

التحقق من العلامة التجارية متطلب قانوني وليس إجراءً شكلياً

يُطلب من هيئات MVA تأكيد ملكية العلامة التجارية من خلال سجلات العلامات التجارية الرسمية (USPTO وEUIPO وWIPO وغيرها). تحمي هذه الخطوة كلاً من منظومة البريد وعلامتك التجارية. إن شهادة VMC الصادرة دون التحقق السليم من العلامة التجارية غير متوافقة وقابلة للإلغاء.

يمكن أن يحدث الإلغاء في أي وقت

إذا اكتشفت هيئة MVA أن شهادة ما صدرت بشكل خاطئ — أو إذا انتهت صلاحية تسجيل علامتك التجارية — يمكن إلغاء شهادة VMC. ولأن جهات استقبال البريد تتحقق من حالة الإلغاء في الوقت شبه الفعلي، فإن إلغاء شهادة VMC يتسبب في اختفاء الشعار فوراً عبر جميع صناديق الوارد.

---

النقاط الرئيسية

• صفة MVA تُمنح من مجموعة عمل AuthIndicators، وليست معلنة ذاتياً من السلطة.
• ثلاث هيئات MVA معتمدة حالياً: DigiCert وSectigo وGlobalSign.
• تتطلب عملية الاعتماد بيان CPS منشوراً، وتسجيلاً في سجلات CT، وبنية CRL تحتية، وتدقيقات WebTrust، والتسجيل في CCADB.
• التسعير المرتفع لشهادات VMC يعكس تكاليف امتثال حقيقية — وليس هامشاً تعسفياً.
• تحقق دائماً من حالة MVA قبل الشراء. لن تعمل الشهادة من سلطة غير معتمدة مع Gmail أو Apple Mail.

---

الخطوات التالية

قبل شراء شهادة VMC، تأكد من وجود أساس BIMI الخاص بك:

1. تطبيق DMARC — يجب أن يكون لنطاقك سياسة DMARC بقيمة p=quarantine أو p=reject.
2. توافق شعار SVG — يجب أن يتوافق شعارك مع ملف تعريف BIMI SVG Tiny P/S.
3. تسجيل العلامة التجارية — يجب أن يكون شعارك مسجلاً كعلامة تجارية في ولاية قضائية معترف بها من هيئة MVA التي اخترتها.

---

ابدأ مع makeBIMI.com وveriBIMI.com

• makeBIMI.com — حوّل شعارك إلى ملف SVG Tiny PS متوافق مع BIMI مجاناً، وأجرِ تدقيقاً كاملاً لـ DMARC على نطاقك قبل التقدم للحصول على شهادة VMC.
• veriBIMI.com — وساطة VMC محايدة للسلطات لفرق المؤسسات. قارن الأسعار ومواعيد الإصدار عبر جميع هيئات MVA المعتم