Gmail có yêu cầu VMC cho BIMI không? (Cập nhật 2026)

Câu hỏi phổ biến nhất mà các quản trị viên đặt ra khi lập kế hoạch triển khai BIMI là liệu có cần chứng chỉ mã hóa hay không. Có. Để hiển thị logo của bạn trong Gmail hoặc Apple Mail, bạn phải có Verified Mark Certificate (VMC) hoặc Common Mark Certificate (CMC).

Bài viết này trình bày sự khác biệt về chính sách giữa các nhà cung cấp hộp thư và lý do tại sao các nhà cung cấp lớn nhất yêu cầu xác minh dựa trên chứng chỉ [1].

Hai cấp độ của BIMI

Giao thức Brand Indicators for Message Identification (BIMI) định nghĩa hai cấp độ triển khai:

1. BIMI tự khai báo: Chủ sở hữu tên miền công bố bản ghi DNS tham chiếu đến tệp logo. Không có bên thứ ba xác minh danh tính của chủ sở hữu.
2. BIMI có chứng nhận: Chủ sở hữu tên miền công bố bản ghi DNS tham chiếu đến cả tệp logo và chứng chỉ .pem được cấp bởi Tổ chức Chứng nhận (CA) được công nhận.

Tiêu chuẩn Yahoo (tự khai báo)

Yahoo Mail và AOL chấp nhận cấp độ tự khai báo. Logo của bạn được hiển thị trong các ứng dụng này khi tên miền của bạn thực thi DMARC với p=quarantine hoặc p=reject và logo tuân thủ đặc tả W3C SVG Tiny P/S. Không yêu cầu VMC.

Tiêu chuẩn Google và Apple (có chứng nhận)

Gmail, Google Workspace, iOS Mail, macOS Mail và iCloud Mail yêu cầu cấp độ có chứng nhận. Các ứng dụng này từ chối bản ghi tự khai báo. Nếu bản ghi BIMI của bạn không bao gồm thẻ a= tham chiếu đến chứng chỉ hợp lệ, các ứng dụng này bỏ qua bản ghi và hiển thị hình đại diện chung [2].

Tại sao Gmail và Apple yêu cầu chứng chỉ

Yêu cầu chứng chỉ nhằm khắc phục một lỗ hổng cụ thể trong cơ chế bảo vệ của DMARC.

DMARC xác minh rằng thư được gửi từ tên miền trong trường From. DMARC không xác minh rằng chủ sở hữu tên miền có quyền hợp pháp để hiển thị một logo cụ thể. Nếu không có yêu cầu chứng chỉ, kẻ tấn công có thể đăng ký secure-bank-alerts.com, thực thi DMARC trên đó, và công bố bản ghi BIMI tự khai báo tham chiếu đến logo của một ngân hàng hợp pháp.

Để ngăn chặn hình thức giả mạo trực quan này, Google và Apple ủy quyền việc xác minh danh tính cho các Tổ chức Chứng nhận được kiểm toán WebTrust, bao gồm Entrust và GlobalSign.

Khi bạn nộp đơn xin VMC, CA thực hiện kiểm tra danh tính có công chứng đối với tổ chức của bạn và xác thực logo dựa trên các cơ quan đăng ký nhãn hiệu chính thức. CA chỉ cấp chứng chỉ sau khi hoàn tất quá trình xác minh này.

Dấu tích xanh

Gmail hiển thị dấu tích xanh đã xác minh bên cạnh tên người gửi cho các tên miền triển khai VMC. Dấu tích này báo hiệu cho người nhận rằng cả hạ tầng gửi thư và danh tính thương hiệu đều đã được xác minh bằng mật mã.

[!NOTE] Common Mark Certificate (CMC) hiển thị logo của bạn trong Gmail mà không yêu cầu nhãn hiệu đã đăng ký, nhưng không kích hoạt dấu tích xanh.

Lộ trình triển khai

Để hiển thị logo của bạn trong Gmail và Apple Mail, hãy hoàn thành các bước sau:

1. Đáp ứng các điều kiện tiên quyết kỹ thuật. Thực thi DMARC trên tên miền của bạn và tạo tệp logo tuân thủ đặc tả W3C SVG Tiny P/S. Để tự động hóa việc chuẩn bị tệp, sử dụng makeBIMI.
2. Lấy chứng chỉ. Quy trình nộp đơn tại CA yêu cầu tài liệu nhãn hiệu và đánh giá tuân thủ. Các doanh nghiệp thường hợp tác với đơn vị môi giới như veriBIMI để kiểm toán hạ tầng, quản lý xác minh nhãn hiệu, và cấp chứng chỉ cuối cùng.

Bản ghi tự khai báo phù hợp cho mục đích thử nghiệm. Triển khai sản xuất trong Gmail và Apple Mail yêu cầu chứng chỉ.

Tài liệu tham khảo

[1] AuthIndicators Working Group. “BIMI Certificates.” BIMI Group, https://bimigroup.org/bimi-certificates/ [2] Google Workspace Admin Help. “Set up BIMI.” Google Support, https://support.google.com/a/answer/10911320