Le fossé de l'automatisation.

Let's Encrypt est l'une des autorités de certification les plus performantes de l'histoire d'Internet. Elle a émis des milliards de certificats TLS, accéléré l'adoption du HTTPS sur le web, et ce entièrement gratuitement. Alors, quand les organisations commencent à implémenter BIMI et découvrent que les Mark Certificates coûtent plus de 1 000 $ par an, la question surgit presque immédiatement dans les forums et les fils de discussion :

« Pourquoi Let's Encrypt ne peut-elle pas simplement émettre des VMC ? »

La réponse courte : le protocole ACME automatise la validation du contrôle de domaine. Les certificats BIMI exigent quelque chose de fondamentalement différent — un jugement humain sur la propriété des marques et l'identité de la marque. Ces deux éléments sont inconciliables avec les mêmes outils.

Cet article explique les raisons structurelles de cette incompatibilité, ce qu'implique réellement le processus de vérification des VMC et CMC, et pourquoi l'écart de coût entre un certificat TLS gratuit et un Mark Certificate à plus de 1 000 $ n'est pas une tarification arbitraire — il reflète un véritable travail manuel effectué par des examinateurs accrédités.

---

Contexte : ce que fait réellement Let's Encrypt

Let's Encrypt fonctionne sur le protocole ACME (Automated Certificate Management Environment, RFC 8555). L'ensemble du modèle repose sur une seule question :

L'entité qui demande ce certificat contrôle-t-elle le nom de domaine en question ?

Pour répondre automatiquement à cette question, Let's Encrypt utilise l'un des trois types de défi :

1. HTTP-01 — Placer un jeton spécifique à une URL connue sur le domaine.
2. DNS-01 — Publier un enregistrement TXT spécifique dans la zone DNS du domaine.
3. TLS-ALPN-01 — Répondre à une poignée de main TLS sur le port 443 avec un certificat spécifique.

Si le défi réussit, le contrôle du domaine est prouvé. Le certificat est émis en quelques secondes. Aucun humain n'examine la demande. Aucun humain ne pourrait examiner la demande — Let's Encrypt émet des millions de certificats par jour.

Ce modèle fonctionne précisément parce que le contrôle de domaine est un fait binaire, vérifiable par machine. Soit le jeton est présent, soit il ne l'est pas.

---

Ce que certifie réellement un Mark Certificate BIMI

Un Verified Mark Certificate (VMC) ou un Common Mark Certificate (CMC) ne certifie pas le contrôle du domaine. Il certifie quelque chose de catégoriquement différent :

Qu'un logo SVG spécifique est légitimement associé à une organisation spécifique, et que cette organisation a le droit d'afficher ce logo dans les clients de messagerie.

Pour formuler cette affirmation, une autorité de certification doit répondre à des questions qui n'ont pas de réponse vérifiable par machine :

1. Cette organisation possède-t-elle ou détient-elle une licence pour la marque représentée dans le logo ?
2. Le fichier SVG est-il une représentation fidèle de cette marque déposée ?
3. Le logo a-t-il été utilisé de manière continue et publique assez longtemps pour être éligible aux règles d'usage historique des CMC ?
4. L'organisation est-elle la même entité juridique nommée sur l'enregistrement de la marque ?

Aucune de ces questions ne peut être résolue en plaçant un fichier sur un serveur web.

---

Le processus de vérification des VMC : ce que font réellement les examinateurs

Les Accredited Mark Verifiers (AMV) — le petit nombre d'autorités de certification autorisées à émettre des VMC, dont actuellement DigiCert et Entrust — suivent un flux de travail d'examen défini pour chaque demande. Les étapes ci-dessous reflètent les exigences publiées par le BIMI Working Group et les directives du CA/Browser Forum sur les Mark Certificates.

1. Vérification de l'enregistrement de la marque

L'examinateur récupère le dossier d'enregistrement de la marque auprès du registre national ou international concerné (USPTO, EUIPO, WIPO, INPI, etc.) et confirme que :

• La marque est enregistrée (et pas simplement déposée).
• L'enregistrement est actif et n'est pas expiré, annulé ou abandonné.
• Les classes de produits et services sont cohérentes avec l'activité du demandeur.
• Le titulaire inscrit correspond à l'entité juridique soumettant la demande de certificat.

Cette étape nécessite l'accès à de multiples bases de données de marques, une connaissance du droit international de la propriété intellectuelle et un jugement sur les cas limites — par exemple, si un renouvellement en cours constitue un enregistrement caduc.

2. Examen de la correspondance logo-marque

L'examinateur compare le fichier SVG soumis au spécimen de marque enregistré et détermine s'ils constituent substantiellement la même marque. Ce n'est pas une opération de comparaison pixel par pixel. Cela nécessite une évaluation humaine de :

• L'équivalence stylistique entre différents formats de fichiers.
• Si les variations de couleur sont dans la tolérance acceptable.
• Si les versions simplifiées ou adaptées représentent toujours la marque enregistrée.

3. Vérification de la conformité technique du SVG

Le SVG doit être conforme au profil BIMI SVG Tiny P/S — un sous-ensemble restreint de SVG 1.2 Tiny. Les examinateurs vérifient que le fichier :

• Ne contient pas d'images matricielles embarquées.
• N'utilise pas de JavaScript ni de références externes.
• Inclut l'élément