自动化的鸿沟。

Let's Encrypt 是互联网历史上最成功的证书颁发机构之一。它已签发了数十亿张 TLS 证书，推动了 HTTPS 在全网的普及，而且完全免费。因此，当企业开始实施 BIMI 并发现标记证书的年费高达 1,000 美元以上时，论坛和技术支持帖子中几乎立刻就会出现这个问题：

"为什么 Let's Encrypt 不能直接签发 VMC？"

简短的回答是：ACME 协议自动化的是域名控制权验证。而 BIMI 证书需要的是完全不同的东西——关于商标所有权和品牌标识的人工判断。这两者无法通过同一套工具链来调和。

本文将解释其中的结构性原因、VMC 和 CMC 的实际验证流程，以及为什么免费 TLS 证书与 1,000 美元以上标记证书之间的价格差距并非随意定价——它反映的是由认证审核员执行的真实人工劳动。

---

背景：Let's Encrypt 究竟做什么

Let's Encrypt 基于 ACME 协议（自动化证书管理环境，RFC 8555）运行。整个模式围绕一个问题构建：

请求该证书的实体是否控制着相关域名？

为了自动回答这个问题，Let's Encrypt 使用以下三种验证方式之一：

1. HTTP-01 — 在域名的指定 URL 路径下放置一个特定令牌。
2. DNS-01 — 在域名的 DNS 区域中发布一条特定的 TXT 记录。
3. TLS-ALPN-01 — 在 443 端口通过 TLS 握手响应一个特定证书。

如果验证成功，域名控制权即被证明。证书在数秒内签发。没有人工审核请求。也不可能有人工审核——Let's Encrypt 每天签发数百万张证书。

这种模式之所以有效，正是因为域名控制权是一个二元的、可由机器验证的事实。令牌要么存在，要么不存在。

---

BIMI 标记证书究竟证明什么

验证标记证书（VMC）或通用标记证书（CMC）证明的不是域名控制权。它证明的是性质完全不同的内容：

特定的 SVG 徽标与特定组织存在合法关联，且该组织有权在电子邮件客户端中展示该徽标。

为了做出这一断言，证书颁发机构必须回答那些没有机器可验证答案的问题：

1. 该组织是否拥有或授权使用徽标中所描绘的商标？
2. 该 SVG 文件是否忠实呈现了已注册的商标？
3. 该徽标是否已持续公开使用足够长的时间，以符合 CMC 的历史使用规则？
4. 该组织是否与商标注册证书上列明的法律实体为同一主体？

这些问题都无法通过在网络服务器上放置文件来解决。

---

VMC 验证流程：审核员的实际工作

认证标记验证机构（AMV）——目前被授权签发 VMC 的少数证书颁发机构，包括 DigiCert 和 Entrust——对每份申请都遵循既定的审核工作流程。以下步骤反映了 BIMI 工作组和 CA/浏览器论坛标记证书指南发布的要求。

1. 商标注册验证

审核员从相关的国家或国际注册机构（USPTO、EUIPO、WIPO、IPO 等）检索商标注册记录，并确认：

• 该商标已注册（而非仅处于申请阶段）。
• 注册状态为有效，未过期、撤销或放弃。
• 商品和服务分类与申请人的业务相符。
• 登记的所有人与提交证书申请的法律实体一致。

这一步骤需要访问多个商标数据库、具备国际知识产权法律知识，并对边缘情况做出判断——例如，待续展的商标是否构成失效注册。

2. 徽标与商标的对应审核

审核员将提交的 SVG 文件与存档的商标样本进行比对，判断两者是否实质上为同一标记。这不是像素级差异对比操作，而是需要人工评估：

• 不同文件格式之间的风格等效性。
• 颜色变化是否在可接受的容差范围内。
• 简化或改编版本是否仍能代表已注册的商标。

3. SVG 技术合规检查

SVG 必须符合 BIMI SVG Tiny P/S 配置文件——SVG 1.2 Tiny 的一个受限子集。审核员验证该文件：

• 不包含嵌入的光栅图像。
• 不使用 JavaScript 或外部引用。
• 包含正确的