BIMI標準
BIMIは、認証とポリシー要件が満たされた場合に、メールクライアントで検証済みブランドアイコンを表示します。
3つの要件
BIMI（Brand Indicators for Message Identification）は、3つの技術的制御の交点で動作します。第一に、送信ドメインはquarantineまたはrejectのDMARCポリシーを公開し強制する必要があります。第二に、default._bimi.[domain]のDNS TXTレコードがHTTPS経由でSVG画像を参照する必要があります。第三に、そのSVGはSVG Tiny Portable/Secureプロファイルに準拠する必要があります。3つすべてが必須です。いずれかの要素が満たされない場合、インジケーターは表示されません。
DMARC強制の前提条件
BIMIは、組織ドメインのDMARCレコードにp=quarantineまたはp=rejectを要求します。p=noneポリシーは適格ではありません。サブドメインポリシー（sp=）は、サブドメインが独自のBIMIレコードを公開している場合に個別に評価されます。DMARC認証は、識別子の整合性を伴うSPFまたはDKIMのいずれかを使用して合格する必要があります。この要件により、認証されていないメールはインジケーター表示をトリガーできず、なりすましリスクが軽減されます。
SVG Tiny Portable/Secureプロファイル
SVG Tiny P/SはRFC 9345で定義されており、SVGをセキュリティ強化されたサブセットに制限します。このプロファイルは、スクリプト、外部リソース参照、アニメーション、および複雑なフィルター効果を禁止します。許可される要素には、基本図形（<path>、<circle>、<rect>）、<title>、<desc>、および静的グラデーションが含まれます。すべてのスタイルは、プレゼンテーション属性または内部<style>ブロックである必要があり、外部CSSは使用できません。<svg>ルートは、Tiny 1.2または2.0名前空間を宣言し、baseProfile="tiny-ps"を含める必要があります。画像はviewBox属性を持つ正方形である必要があります。ファイルサイズは32 KB以下が推奨されます。
これらの制約が存在する理由
このプロファイルは、クライアント側の攻撃ベクトルのクラス全体を排除します。スクリプトはメールクライアントのコンテキストで実行される可能性があります。外部参照は、HTTPリクエストを介して受信者データを漏洩させたり、悪意のあるペイロードを導入したりする可能性があります。アニメーションは、光感受性発作を引き起こしたり、フィッシングコンテンツを隠したりする可能性があります。フィルターは、レンダリングエンジンの脆弱性を悪用する可能性があります。SVGを宣言的なジオメトリとグラデーションに制限することで、このプロファイルは、セキュリティ重視のコンテキストで安全にレンダリングできる、解析可能で監査可能な形式を維持しながら、ブランド表現を可能にします。
BIMIレコード構造
default._bimi.[domain]のDNS TXTレコードには2つのコンポーネントが含まれます：v=BIMI1は仕様のバージョン1を宣言します。l=https://example.com/logo.svgはSVGの場所を指定し、有効な証明書を使用してHTTPS経由で提供される必要があります。オプションのa=タグは、商標登録されたロゴのVerified Mark Certificate（VMC）を参照します。受信者は表示にVMCを要求する場合があります。レコード形式は厳密に定義されており、余分なタグや構文エラーは検索の失敗を引き起こします。
受信者実装の変動性
BIMIは受信者側の決定フレームワークであり、表示を保証するプロトコルではありません。Gmail、Yahoo、Fastmailなどは、VMC要件、キャッシュ期間、画像レンダリング、およびフォールバック動作に関して独立したポリシーを維持しています。一部の受信者は、SPFとDKIMの両方に合格したメールに対してのみインジケーターを表示します。他の受信者は、追加の評判シグナルまたは手動レビューを実装しています。有効なBIMIレコードは、インジケーターの可視性を保証するものではありません。受信者は、技術的なコンプライアンスを超えた理由（コンテンツポリシー違反や商標紛争など）で画像を拒否する場合があります。
このツールの検証範囲
makeBIMIは、SVG Tiny P/Sへの構文的準拠を検証します：ドキュメント構造、要素ホワイトリスト、属性制限、名前空間宣言、およびviewBoxジオメトリ。禁止された要素、外部参照、スクリプト、およびアニメーションをチェックします。DMARCレコード構文、DNS伝播、HTTPS証明書の有効性、VMC真正性、商標権、または受信者固有の受け入れ基準は検証しません。メール受信者がインジケーターを表示することを保証するものではありません。検証は、デプロイメントの成功ではなく、技術的適格性を確認します。