ทำไม Let's Encrypt ไม่ออกใบรับรอง BIMI (VMC/CMC)
Let's Encrypt ไม่สามารถออก Verified Mark Certificates (VMC) หรือ Common Mark Certificates (CMC) ได้ เนื่องจากการออกใบรับรอง BIMI ต้องมีการตรวจสอบเครื่องหมายการค้าด้วยมนุษย์ ซึ่งโปรโตคอล ACME ไม่สามารถทำให้เป็นระบบอัตโนมัติได้ เรียนรู้ว่าทำไม VMC มีราคาตั้งแต่ $1,000 ขึ้นไป และกระบวนการทำงานเป็นอย่างไร
ช่องว่างของระบบอัตโนมัติ
Let’s Encrypt เป็นหนึ่งใน Certificate Authority ที่ประสบความสำเร็จมากที่สุดในประวัติศาสตร์อินเทอร์เน็ต ได้ออกใบรับรอง TLS ไปแล้วหลายพันล้านใบ ผลักดันการใช้งาน HTTPS ทั่วทั้งเว็บ และทำทั้งหมดนี้โดยไม่คิดค่าใช้จ่าย ดังนั้นเมื่อองค์กรเริ่มนำ BIMI มาใช้และพบว่า Mark Certificates มีราคาตั้งแต่ปีละ $1,000 ขึ้นไป คำถามที่เกิดขึ้นในฟอรัมและกระทู้ขอความช่วยเหลือเกือบจะทันทีคือ:
“ทำไม Let’s Encrypt ไม่ออก VMC ให้เลยล่ะ?”
คำตอบสั้นๆ คือ: โปรโตคอล ACME ทำให้การตรวจสอบการควบคุมโดเมนเป็นระบบอัตโนมัติ แต่ใบรับรอง BIMI ต้องการสิ่งที่แตกต่างกันโดยพื้นฐาน — การตัดสินใจของมนุษย์เกี่ยวกับความเป็นเจ้าของเครื่องหมายการค้าและอัตลักษณ์ของแบรนด์ สองสิ่งนี้ไม่สามารถประสานกันได้ด้วยชุดเครื่องมือเดียวกัน
บทความนี้อธิบายเหตุผลเชิงโครงสร้างว่าทำไม กระบวนการตรวจสอบ VMC และ CMC เกี่ยวข้องกับอะไรจริงๆ และทำไมช่องว่างของราคาระหว่างใบรับรอง TLS ฟรีกับ Mark Certificate ที่มีราคามากกว่า $1,000 จึงไม่ใช่การตั้งราคาตามอำเภอใจ — แต่สะท้อนถึงแรงงานมนุษย์ที่แท้จริงที่ดำเนินการโดยผู้ตรวจสอบที่ได้รับการรับรอง
ภูมิหลัง: สิ่งที่ Let’s Encrypt ทำจริงๆ
Let’s Encrypt ทำงานบน โปรโตคอล ACME (Automated Certificate Management Environment, RFC 8555) โมเดลทั้งหมดสร้างขึ้นจากคำถามเดียว:
หน่วยงานที่ขอใบรับรองนี้ควบคุมชื่อโดเมนที่เกี่ยวข้องหรือไม่?
เพื่อตอบคำถามนั้นโดยอัตโนมัติ Let’s Encrypt ใช้หนึ่งในสามประเภทของ Challenge:
- HTTP-01 — วางโทเค็นเฉพาะที่ URL ที่กำหนดไว้บนโดเมน
- DNS-01 — เผยแพร่ TXT record เฉพาะใน DNS zone ของโดเมน
- TLS-ALPN-01 — ตอบสนองต่อ TLS handshake บนพอร์ต 443 ด้วยใบรับรองเฉพาะ
หาก Challenge สำเร็จ การควบคุมโดเมนได้รับการพิสูจน์แล้ว ใบรับรองจะออกภายในไม่กี่วินาที ไม่มีมนุษย์ตรวจสอบคำขอ ไม่มีมนุษย์สามารถตรวจสอบคำขอได้ — Let’s Encrypt ออกใบรับรองหลายล้านใบต่อวัน
โมเดลนี้ทำงานได้อย่างแม่นยำเพราะ การควบคุมโดเมนเป็นข้อเท็จจริงแบบไบนารีที่เครื่องสามารถตรวจสอบได้ โทเค็นมีอยู่หรือไม่มี ไม่มีทางอื่น
สิ่งที่ใบรับรอง BIMI Mark Certificate รับรองจริงๆ
Verified Mark Certificate (VMC) หรือ Common Mark Certificate (CMC) ไม่ได้รับรองการควบคุมโดเมน แต่รับรองสิ่งที่แตกต่างกันโดยหมวดหมู่:
ว่าโลโก้ SVG เฉพาะนั้นเกี่ยวข้องกับองค์กรเฉพาะอย่างถูกต้องตามกฎหมาย และองค์กรนั้นมีสิทธิ์แสดงโลโก้นั้นในโปรแกรมอีเมล
เพื่อทำการยืนยันนั้น Certificate Authority ต้องตอบคำถามที่ไม่มีคำตอบที่เครื่องสามารถตรวจสอบได้:
- องค์กรนี้เป็นเจ้าของหรือได้รับอนุญาตให้ใช้เครื่องหมายการค้าที่ปรากฏในโลโก้หรือไม่?
- ไฟล์ SVG เป็นการแสดงภาพที่ถูกต้องของเครื่องหมายการค้าที่จดทะเบียนนั้นหรือไม่?
- โลโก้ถูกใช้อย่างต่อเนื่องและเปิดเผยต่อสาธารณะนานพอที่จะผ่านเกณฑ์ภายใต้กฎการใช้งานทางประวัติศาสตร์ของ CMC หรือไม่?
- องค์กรเป็นนิติบุคคลเดียวกันกับที่ระบุชื่อในการจดทะเบียนเครื่องหมายการค้าหรือไม่?
ไม่มีคำถามใดในเหล่านี้ที่สามารถแก้ไขได้โดยการวางไฟล์บนเว็บเซิร์ฟเวอร์
กระบวนการตรวจสอบ VMC: สิ่งที่ผู้ตรวจสอบทำจริงๆ
Accredited Mark Verifiers (AMVs) — จำนวนน้อยของ CA ที่ได้รับอนุญาตให้ออก VMC ซึ่งปัจจุบันรวมถึง DigiCert และ Entrust — ปฏิบัติตามขั้นตอนการตรวจสอบที่กำหนดไว้สำหรับแต่ละใบสมัคร ขั้นตอนด้านล่างสะท้อนข้อกำหนดที่เผยแพร่จาก BIMI Working Group และแนวทาง Mark Certificate ของ CA/Browser Forum
1. การตรวจสอบการจดทะเบียนเครื่องหมายการค้า
ผู้ตรวจสอบดึงข้อมูลบันทึกการจดทะเบียนเครื่องหมายการค้าจากสำนักงานทะเบียนระดับชาติหรือระหว่างประเทศที่เกี่ยวข้อง (USPTO, EUIPO, WIPO, IPO ฯลฯ) และยืนยันว่า:
- เครื่องหมายได้ จดทะเบียน แล้ว (ไม่ใช่แค่ยื่นคำขอ)
- การจดทะเบียน มีผลบังคับใช้ และไม่หมดอายุ ยกเลิก หรือถูกทิ้ง
- ประเภทสินค้าและบริการ สอดคล้องกับธุรกิจของผู้สมัคร
- เจ้าของที่บันทึกไว้ ตรงกับนิติบุคคลที่ยื่นขอใบรับรอง
ขั้นตอนนี้ต้องการการเข้าถึงฐานข้อมูลเครื่องหมายการค้าหลายแห่ง ความรู้เกี่ยวกับกฎหมายทรัพย์สินทางปัญญาระหว่างประเทศ และการตัดสินใจเกี่ยวกับกรณีที่คลุมเครือ — ตัวอย่างเช่น การต่ออายุที่รอดำเนินการถือเป็นการจดทะเบียนที่หมดอายุหรือไม่
2. การตรวจสอบความสอดคล้องของโลโก้กับเครื่องหมายการค้า
ผู้ตรวจสอบเปรียบเทียบไฟล์ SVG ที่ส่งมากับตัวอย่างเครื่องหมายการค้าที่บันทึกไว้และพิจารณาว่าพวกเขาเป็น เครื่องหมายเดียวกันโดยพื้นฐาน หรือไม่ นี่ไม่ใช่การดำเนินการเปรียบเทียบพิกเซล แต่ต้องการการประเมินของมนุษย์เกี่ยวกับ:
- ความเท่าเทียมกันทางรูปแบบข้ามรูปแบบไฟล์ที่แตกต่างกัน
- การเปลี่ยนแปลงสีอยู่ในเกณฑ์ที่ยอมรับได้หรือไม่
- เวอร์ชันที่ทำให้เรียบง่ายหรือดัดแปลงยังคงแสดงถึงเครื่องหมายที่จดทะเบียนหรือไม่
3. การตรวจสอบความสอดคล้องทางเทคนิคของ SVG
SVG ต้องเป็นไปตามโปรไฟล์ BIMI SVG Tiny P/S — ซับเซ็ตที่จำกัดของ SVG 1.2 Tiny ผู้ตรวจสอบยืนยันว่าไฟล์:
- ไม่มีการฝังภาพแรสเตอร์
- ไม่ใช้ JavaScript หรือการอ้างอิงภายนอก
- มีองค์ประกอบ
<title>ที่ถูกต้อง - แสดงผลได้ถูกต้องภายใน viewport สี่เหลี่ยมจัตุรัส
นี่เป็นขั้นตอนเดียวที่สามารถทำให้เป็นระบบอัตโนมัติได้บางส่วน และ CA หลายรายใช้การตรวจสอบอัตโนมัติเบื้องต้น อย่างไรก็ตาม การตรวจสอบอัตโนมัติไม่ได้แทนที่การลงนามของผู้ตรวจสอบ
4. การตรวจสอบอัตลักษณ์องค์กร
ผู้ตรวจสอบยืนยันว่าผู้สมัครใบรับรองเป็นนิติบุคคลเดียวกันกับที่ระบุชื่อในการจดทะเบียนเครื่องหมายการค้า โดยทั่วไปเกี่ยวข้องกับ:
- การตร