Luka w automatyzacji.

Let's Encrypt to jeden z najbardziej udanych urzędów certyfikacji w historii internetu. Wydał miliardy certyfikatów TLS, przyczynił się do upowszechnienia HTTPS w całej sieci, i zrobił to całkowicie za darmo. Dlatego gdy organizacje rozpoczynają wdrażanie BIMI i odkrywają, że certyfikaty Mark Certificate kosztują ponad 1000 dolarów rocznie, naturalne pytanie pojawia się na forach i w wątkach pomocy technicznej niemal natychmiast:

„Dlaczego Let's Encrypt po prostu nie wydaje VMC?"

Krótka odpowiedź: protokół ACME automatyzuje walidację kontroli nad domeną. Certyfikaty BIMI wymagają czegoś zasadniczo innego — ludzkiej oceny własności znaku towarowego i tożsamości marki. Tych dwóch rzeczy nie da się pogodzić przy użyciu tych samych narzędzi.

Ten artykuł wyjaśnia strukturalne przyczyny takiego stanu rzeczy, jak w rzeczywistości wygląda proces weryfikacji dla VMC i CMC, oraz dlaczego różnica w cenie między darmowym certyfikatem TLS a certyfikatem Mark Certificate kosztującym ponad 1000 dolarów nie wynika z arbitralnej polityki cenowej — odzwierciedla ona rzeczywistą pracę ręczną wykonywaną przez akredytowanych ekspertów.

---

Kontekst: Czym faktycznie zajmuje się Let's Encrypt

Let's Encrypt działa w oparciu o protokół ACME (Automated Certificate Management Environment, RFC 8555). Cały model opiera się na jednym pytaniu:

Czy podmiot żądający tego certyfikatu kontroluje daną nazwę domeny?

Aby odpowiedzieć na to pytanie automatycznie, Let's Encrypt wykorzystuje jeden z trzech typów wyzwań:

1. HTTP-01 — Umieszczenie określonego tokenu pod znanym adresem URL w domenie.
2. DNS-01 — Opublikowanie określonego rekordu TXT w strefie DNS domeny.
3. TLS-ALPN-01 — Odpowiedź na uzgadnianie TLS na porcie 443 przy użyciu określonego certyfikatu.

Jeśli wyzwanie zakończy się sukcesem, kontrola nad domeną zostaje udowodniona. Certyfikat jest wydawany w ciągu sekund. Żaden człowiek nie przegląda wniosku. Żaden człowiek nie mógłby przeglądać wniosku — Let's Encrypt wydaje miliony certyfikatów dziennie.

Ten model działa właśnie dlatego, że kontrola nad domeną jest binarnym, weryfikowalnym maszynowo faktem. Token albo jest obecny, albo nie.

---

Co właściwie poświadcza certyfikat BIMI Mark Certificate

Verified Mark Certificate (VMC) lub Common Mark Certificate (CMC) nie poświadcza kontroli nad domeną. Poświadcza coś kategorycznie innego:

Że określone logo SVG jest prawomocnie powiązane z określoną organizacją i że organizacja ta ma prawo do wyświetlania tego logo w klientach poczty elektronicznej.

Aby móc sformułować takie stwierdzenie, urząd certyfikacji musi odpowiedzieć na pytania, które nie mają odpowiedzi weryfikowalnej maszynowo:

1. Czy ta organizacja posiada lub licencjonuje znak towarowy przedstawiony w logo?
2. Czy plik SVG jest wiernym odwzorowaniem tego zarejestrowanego znaku towarowego?
3. Czy logo było używane w sposób ciągły i publiczny wystarczająco długo, aby kwalifikować się zgodnie z zasadami historycznego użytkowania CMC?
4. Czy organizacja jest tym samym podmiotem prawnym, który jest wymieniony w rejestracji znaku towarowego?

Żadnego z tych pytań nie da się rozwiązać poprzez umieszczenie pliku na serwerze WWW.

---

Proces weryfikacji VMC: co faktycznie robią eksperci

Akredytowani weryfikatorzy znaków (AMV — Accredited Mark Verifiers) — niewielka liczba urzędów certyfikacji upoważnionych do wydawania VMC, obecnie obejmująca DigiCert i Entrust — stosują określony proces weryfikacji dla każdego wniosku. Poniższe kroki odzwierciedlają opublikowane wymagania BIMI Working Group oraz wytyczne CA/Browser Forum dotyczące certyfikatów Mark Certificate.

1. Weryfikacja rejestracji znaku towarowego

Ekspert pobiera zapis rejestracji znaku towarowego z odpowiedniego rejestru krajowego lub międzynarodowego (USPTO, EUIPO, WIPO, UPRP itp.) i potwierdza:

• Znak jest zarejestrowany (nie tylko zgłoszony).
• Rejestracja jest aktywna i nie wygasła, nie została anulowana ani porzucona.
• Klasy towarów i usług są zgodne z działalnością wnioskodawcy.
• Właściciel ujawniony w rejestrze odpowiada podmiotowi prawnemu składającemu wniosek o certyfikat.

Ten krok wymaga dostępu do wielu baz danych znaków towarowych, znajomości międzynarodowego prawa własności intelektualnej oraz oceny przypadków granicznych — na przykład, czy oczekujące odnowienie stanowi wygasłą rejestrację.

2. Przegląd zgodności logo ze znakiem towarowym

Ekspert porównuje przesłany plik SVG ze wzorem znaku towarowego w rejestrze i określa, czy są one zasadniczo tym samym znakiem. Nie jest to operacja porównywania pikseli. Wymaga ludzkiej oceny:

• Równoważności stylistycznej między różnymi formatami plików.
• Czy warianty kolorystyczne mieszczą się w dopuszczalnej tolerancji.
• Czy uproszczone lub zaadaptowane wersje nadal reprezentują zarejestrowany znak.

3. Sprawdzenie zgodności technicznej SVG

Plik SVG musi być zgodny z profilem BIMI SVG Tiny P/S — ograniczonym podzbiorem SVG 1.2 Tiny. Eksperci weryfikują, czy plik:

• Nie zawiera osadzonych obrazów rastrowych.
• Nie używa JavaScript ani zewnętrznych odniesień.
• Zawiera prawidłowy element