Automatiseringsklyftan.

Let's Encrypt är en av de mest framgångsrika certifikatutfärdarna i internets historia. De har utfärdat miljarder TLS-certifikat, drivit HTTPS-adoption över hela webben, och gjort allt detta helt gratis. Så när organisationer börjar implementera BIMI och upptäcker att Mark Certificates kostar uppemot 1 000 dollar per år, dyker den naturliga frågan upp i forum och supporttrådar nästan omedelbart:

"Varför kan inte Let's Encrypt bara utfärda VMC:er?"

Det korta svaret: ACME-protokollet automatiserar validering av domänkontroll. BIMI-certifikat kräver något fundamentalt annorlunda — mänsklig bedömning av varumärkesägandeskap och varumärkesidentitet. Dessa två saker går inte att förena med samma verktygskedja.

Den här artikeln förklarar de strukturella orsakerna till varför, vad verifieringsprocessen för VMC:er och CMC:er faktiskt innebär, och varför kostnadsgapet mellan ett gratis TLS-certifikat och ett Mark Certificate på 1 000+ dollar inte är godtycklig prissättning — det återspeglar genuint manuellt arbete utfört av ackrediterade granskare.

---

Bakgrund: Vad Let's Encrypt faktiskt gör

Let's Encrypt arbetar enligt ACME-protokollet (Automated Certificate Management Environment, RFC 8555). Hela modellen är byggd kring en enda fråga:

Kontrollerar den entitet som begär detta certifikat domännamnet i fråga?

För att besvara den frågan automatiskt använder Let's Encrypt en av tre utmaningstyper:

1. HTTP-01 — Placera en specifik token på en känd URL på domänen.
2. DNS-01 — Publicera en specifik TXT-post i domänens DNS-zon.
3. TLS-ALPN-01 — Svara på en TLS-handskakning på port 443 med ett specifikt certifikat.

Om utmaningen lyckas är domänkontroll bevisad. Certifikatet utfärdas på sekunder. Ingen människa granskar begäran. Ingen människa skulle kunna granska begäran — Let's Encrypt utfärdar miljontals certifikat per dag.

Denna modell fungerar just eftersom domänkontroll är ett binärt, maskinverifierbart faktum. Antingen finns token där eller så gör den inte det.

---

Vad ett BIMI Mark Certificate faktiskt certifierar

Ett Verified Mark Certificate (VMC) eller Common Mark Certificate (CMC) certifierar inte domänkontroll. Det certifierar något kategoriskt annorlunda:

Att en specifik SVG-logotyp är legitimt associerad med en specifik organisation, och att organisationen har rätt att visa den logotypen i e-postklienter.

För att göra det påståendet måste en certifikatutfärdare besvara frågor som inte har något maskinverifierbart svar:

1. Äger eller licensierar denna organisation varumärket som avbildas i logotypen?
2. Är SVG-filen en trogen representation av det registrerade varumärket?
3. Har logotypen använts kontinuerligt och offentligt tillräckligt länge för att kvalificera enligt CMC:s regler för historisk användning?
4. Är organisationen samma juridiska person som namnges i varumärkesregistreringen?

Ingen av dessa frågor kan lösas genom att placera en fil på en webbserver.

---

VMC-verifieringsprocessen: vad granskare faktiskt gör

Ackrediterade Mark Verifiers (AMV:er) — det lilla antal certifikatutfärdare som är auktoriserade att utfärda VMC:er, för närvarande inklusive DigiCert och Entrust — följer ett definierat granskningsarbetsflöde för varje ansökan. Stegen nedan återspeglar de publicerade kraven från BIMI Working Group och CA/Browser Forums riktlinjer för Mark Certificate.

1. Verifiering av varumärkesregistrering

Granskaren hämtar varumärkesregistreringsposten från relevant nationellt eller internationellt register (USPTO, EUIPO, WIPO, PRV, etc.) och bekräftar:

• Varumärket är registrerat (inte bara ansökt om).
• Registreringen är aktiv och inte utgången, avregistrerad eller övergiven.
• Varu- och tjänsteklasserna är förenliga med sökandens verksamhet.
• Innehavaren av registreringen matchar den juridiska person som lämnar in certifikatbegäran.

Detta steg kräver tillgång till flera varumärkesdatabaser, kunskap om internationell immaterialrätt och bedömning av gränsfall — till exempel huruvida en pågående förnyelse utgör en förfallen registrering.

2. Granskning av logotyp-till-varumärke-överensstämmelse

Granskaren jämför den inlämnade SVG-filen mot varumärkesexemplaret i registret och avgör om de är i huvudsak samma märke. Detta är inte en pixeljämförelse. Det kräver mänsklig bedömning av:

• Stilistisk likvärdighet mellan olika filformat.
• Huruvida färgvariationer ligger inom acceptabel tolerans.
• Huruvida förenklade eller anpassade versioner fortfarande representerar det registrerade varumärket.

3. Teknisk SVG-kompatibilitetskontroll

SVG-filen måste överensstämma med BIMI SVG Tiny P/S-profilen — en begränsad delmängd av SVG 1.2 Tiny. Granskare verifierar att filen:

• Inte innehåller inbäddade rasterbilder.
• Inte använder JavaScript eller externa referenser.
• Inkluderar korrekt