Gmailなどの受信箱で、送信者のアイコン部分に企業ロゴが表示されるメールが増えてきました。企業ロゴ付きメール（BIMI）と呼ばれる仕組みです。このロゴは、送る側が画像を添付して表示させているわけではありません。メールを受け取った側が、DNSに公開された情報、証明書、ロゴのファイルを自ら突き合わせ、すべてがそろったときにだけ表示しています。本記事では、受信箱の裏側で行われているこの確認の流れを、3枚の図で解説します。導入を検討している方はもちろん、「設定したのにロゴが表示されない」とお困りの方にも、原因を切り分ける手がかりとしてお役立ていただけます。この記事の要点・企業ロゴ付きメール（BIMI）のロゴは、メールを受け取ったメールサービスが、DNSのBIMIレコード、証明書、ロゴのファイルを確かめたうえで表示している。・ロゴが表示される条件は4つ。DMARCのポリシーが quarantine または reject であること、BIMIレコードの公開、有効で送信ドメインと一致する証明書、証明書の中のロゴとロゴのファイルの一致。・受信側の判定は5段階で、どこか1か所でも失敗するとロゴは表示されない。表示されないときは、図3の順番で原因を切り分ける。・Gmailの青いチェックマーク（認証済みマーク）が付くのは、企業ロゴ所有証明書（VMC）と行政ロゴ所有証明書（GMC）。CMCとMRMCでは、ロゴは表示されてもチェックマークは付かない。1. ロゴは「受け取る側」が確かめて表示している企業ロゴ付きメール（BIMI：Brand Indicators for Message Identification）は、DMARC（なりすましメール対策設定）で認証に成功したメールに、送信企業のロゴを表示する仕組みです。対応するメールサービスでは、受信箱の送信者のアイコン部分にロゴが表示されます。企業ロゴ所有証明書（VMC）を使っている場合、Gmailでは送信者名の横に青いチェックマーク（認証済みマーク）も付きます。 Gmailの受信画面における企業ロゴ（1）、VMCによる青いチェックマーク（2）、およびチェックマークをクリックして表示される送信者確認ポップアップ（3）の詳細解説図。 Gmailでの表示（ロゴと青いチェックマーク）ロゴを表示するかどうかを決めるのは、メールを受け取ったメールサービス（受信側）です。受信側は、メールを受け取るたびに送信元のドメインの情報を自ら取りに行き、「このロゴを、このドメインから届いたメールに表示してよいか」を確かめています。送る側が用意するのは「2つのレコード」と「2つのファイル」図1は、メールを送る側と受け取る側の関係を示したものです。BIMIのために送る側が用意するのは、DNS（ドメインの情報を公開する仕組み）に登録する2つのレコードと、Webサーバーに置く2つのファイルだけです。DMARCレコード：自社ドメインをかたるメールの扱い（ポリシー）を宣言する設定BIMIレコード：ロゴのファイルと証明書の置き場所を示す設定ロゴのファイル（SVG形式）：受信箱に表示されるロゴの画像企業ロゴ所有証明書（VMC）：ロゴとドメインの持ち主を第三者が証明する電子証明書 送信側（メールを送る企業）と受信側（メール事業者）におけるBIMIの動作と検証フローを示す構成図。 * 構成要素: 送信側は「送信メールサーバ」「DNSサーバ」「HTTPS公開サーバ（SVGロゴとVMC証明書）」で構成され、受信側は「受信サーバ」と検証結果の表示枠で構成される。 * 処理の流れ: 1. 送信サーバがDKIM署名付きメールを送信。 2. 受信サーバがDNSサーバを参照し、SPF/DKIM/DMARC認証を実施。 3. DMARCがpassした場合、受信サーバがDNS上のBIMIレコードを確認。 4. BIMIレコードで指定されたHTTPS公開サーバからVMC（ロゴ所有証明書）を取得して検証。 5. 公開サーバからSVGロゴを取得し、証明書内のハッシュ値と照合。 6. 結果: 検証成功時はアバター枠に円形クロップされたロゴが表示され、検証失敗時はロゴが表示されず既定のアバター（頭文字など）が表示される。 図1 システム全体構成※例示のドメインは example.jp。図1の②～⑤の矢印は、すべて受信側から送信側に向かっています。受信側が必要な情報を取りに来る構造なので、送る側は正しいレコードとファイルを置いておくだけでよく、メールを送るたびに何かをする必要はありません。専用の装置やソフトウェアも要りません。BIMIの導入に必要な設定や証明書の取得は、「企業ロゴ付きメール（BIMI）／企業ロゴ所有証明書（VMC）」のサービスページでご紹介しています。2. ロゴが表示される4つの条件受信側がロゴを表示するのは、次の4つの条件をすべて同時に満たしたときだけです。条件内容1. DMARCの認証に成功し、ポリシーが強制されている送信ドメインのDMARCのポリシーが quarantine（隔離）または reject（拒否）になっていること。none（監視のみ）のままでは、BIMIは評価されない2. BIMIレコードが公開されている「default._bimi.送信ドメイン」に、ロゴのファイルの場所（l=）と証明書の場所（a=）が書かれていること3. 証明書が有効で、送信ドメインと一致している受信側が信頼する認証局（マーク検証機関）が発行した証明書で、有効期限内かつ失効しておらず、証明書の対象ドメインに送信ドメインが含まれていること4. ロゴのファイルが、証明書の中のロゴと同じであるl= から取得したロゴのファイルが、証明書の中に格納されたロゴと一致すること以前は「quarantine の場合は pct=100 の指定も必要」とされていました。2026年5月にDMARCが RFC 9989 として標準化された際に pct タグ自体が廃止され、現在はポリシー（p）の値だけで判断されます。4つ目の条件が、BIMIの信頼の核心です。次の章で詳しく見ていきます。3. BIMIレコード・証明書・ロゴは、どうつながっているのか図2は、受信側がメールを受け取ってから、どの情報をどの順番でたどるかを示したものです。起点は、メールの差出人（From）のドメインです。 差出人とDMARCの前提条件: 受信メール（info@example.jp）のDMARCポリシーが quarantine 以上（例: p=reject;）で評価されていることを前提とする。 * BIMIレコードの取得: 送信ドメインのDNSから default._bimi.example.jp TXT（v=BIMI1;）を取得し、l=（ロゴ画像URL）と a=（VMC URL）を参照する。 * ロゴファイル（SVG Tiny 1.2 P/S）の検証: l= のURLから取得したSVG画像が「正方形viewBox」「32KB以下」「<title>必須」「script/imageタグ等不可」の要件を満たしているか確認する。 * VMC＋中間CAの検証: a= のURLから取得したVMCについて、以下の項目を検証する。 * SAN (dNSName): Fromドメイン（example.jp）と一致することを確認。 * ハッシュ照合: VMC内のlogotype拡張（RFC 9399、gzip+Base64内包）と、取得したSVGのSHA-256ハッシュが一致することを確認。 * 属性確認: Subject（組織名／商標登録番号・登録国）、拡張鍵用途（1.3.6.1.5.5.7.3.31）、有効期限およびOCSP/CRLによる失効情報を確認。 * 証明書チェーン検証: 受信事業者が独自に保持するトラストストア内の「MVA（Mark Verifying Authority）のルート証明書」まで証明書チェーンを検証する。 図2 BIMIレコード・VMC・ロゴの参照関係※黒の実線の矢印は情報の取得を表す。緑の矢印（ロゴの照合）と右端の破線の矢印（ドメインの照合）は、一致していなければならない関係を表す。BIMIレコードに書かれているのは、ロゴのファイルと証明書の「置き場所」だけです。いわば入口の案内板で、それ自体には信頼の根拠はありません。信頼を支えているのは、企業ロゴ所有証明書（VMC）です。VMCは、ロゴの画像そのものを中に格納した電子証明書で、発行するときに認証局がロゴとドメインの持ち主を審査しています。受信側は、BIMIレコードで示されたロゴのファイルと、VMCの中のロゴが同じものかを照合します。VMCが証明している3つのこと証明していること証明書の中のどこで誰が確かめるかロゴが登録商標であること組織名、商標登録番号・登録国の欄認証局（発行時の審査）そのドメインがロゴを使う権利を持つこと対象ドメインの欄（SAN）認証局（発行時）と受信側（受け取るたびに差出人のドメインと照合）表示するロゴが差し替えられていないこと証明書に格納されたロゴ（logotype拡張）受信側（受け取るたびに l= のロゴと照合）3つ目の仕組みがあるため、攻撃者がDNSやWebサーバーを書き換えてロゴのファイルだけを別の画像に差し替えても、証明書の中のロゴと一致せず、表示されません。受信箱に表示されるロゴは、「この組織が、このドメインから、この登録商標のロゴで送っている」ことを、第三者が確認した印なのです。4. 判定は5段階。1つでも欠けるとロゴは表示されない図3は、受信側の判定の順番をまとめたものです。判定は上から順に行われ、どこか1か所でも失敗すると、ロゴは表示されません。ロゴが一部だけ表示される、といったこともありません。 BIMIにおける受信側の5段階の検証ステップと、各段階のエラー条件および最終判定を示すフローチャート。 * ① SPF/DKIMを検証し、DMARCを評価: * 進行条件: DMARC pass（ポリシーが quarantine または reject）。 * 失敗要因: 認証失敗、またはポリシーが p=none のまま。 * ② BIMIレコードを取得（default._bimi.<Fromドメイン>、BIMI-Selectorヘッダで切替可）: * 進行条件: レコードあり。 * 失敗要因: レコード無し、または書式不正。 * ③ a= のVMCを取得し、証明書として検証: * 進行条件: 証明書が有効（証明書チェーン、有効期限、失効、SANと送信ドメインの一致）。 * 失敗要因: 期限切れ、失効、SAN不一致、未登録の発行元。 * ④ l= のSVGを取得し、ハッシュを照合: * 進行条件: ハッシュ一致（VMC内蔵ロゴのlogotype拡張と同一）。 * 失敗要因: ハッシュ不一致、またはSVGが取得できない。 * ⑤ SVGがSVG Tiny 1.2 P/Sに準拠するか検証: * 進行条件: 準拠（正方形、禁止要素なし、サイズ上限）。 * 失敗要因: 禁止要素あり、または正方形でない。 * 判定結果: * ロゴを表示: すべての条件を満たした場合、アバター枠に円形クロップして表示（表示位置は受信事業者ごと）。 * ロゴは表示されない: いずれかのステップで失敗した場合、既定のアバター（頭文字など）にフォールバック。 図3 受信側の判定フロー※どの段階で失敗しても、ロゴは表示されず、既定のアイコン（頭文字など）になる。「ロゴが出ない」ときは、どこで止まったかを切り分ける失敗したときの結果は、どの段階でも「ロゴが出ない」の1つだけです。そのため、受信箱でロゴが表示されないときは、どの段階で止まったのかを順番に確かめる必要があります。よくある原因は次のとおりです。判定の段階よくある原因① DMARCの評価DMARCのポリシーが none（監視のみ）のまま。SPFやDKIMの設定漏れで、認証に失敗している② BIMIレコードの取得レコードがない。書式が誤っている③ 証明書の検証有効期限が切れている。更新後もBIMIレコードが古い証明書の場所を指している。証明書の対象ドメインに送信ドメインが含まれていない。受信側が信頼していない認証局の証明書を使っている④ ロゴの照合ロゴのファイルを修正したのに証明書を再発行していない。ロゴのファイルを取得できない⑤ ロゴの形式の確認正方形でない。使えない要素（スクリプトや画像の埋め込みなど）が含まれている。ファイルサイズが大きすぎるなお、①でDMARCの認証に失敗したメールは、ロゴが出ないだけでなく、ポリシーによっては迷惑メールフォルダへの隔離や、受信拒否の対象にもなります。5. 証明書は4種類。青いチェックマークが付くのはVMCとGMCロゴの表示に使う証明書（ロゴ所有証明書）は、VMCを含めて4種類あります。どれを使っても、BIMIレコードの a= に指定する点や、受信側の判定の流れ（図2・図3）は同じです。種類対象となるロゴ商標登録認証済みマーク企業ロゴ所有証明書（VMC）商標登録済みのロゴ必要あり行政ロゴ所有証明書（GMC）法令などで定められた政府機関・自治体のロゴ不要あり先使用ロゴ所有証明書（CMC）1年以上の使用実績がある、商標登録していないロゴ不要なし修正ロゴ所有証明書（MRMC）登録商標を決められた範囲で修正して使うロゴ修正前のロゴが登録済みであることなしGmailで送信者名の横に表示される認証済みマーク（青いチェックマーク）は、VMCとGMCが対象です。CMCとMRMCでは、ロゴは表示されてもチェックマークは付きません。なお、商標登録をしていないロゴでも、CMCを使えばロゴを表示すること自体はできます。6. 導入後に気をつけたい5つのポイント① ロゴを変えるときは、証明書も再発行するロゴのファイルを少しでも修正すると、証明書の中のロゴと一致しなくなり、ロゴが表示されなくなります。ロゴの変更は証明書の再発行とセットで行い、新しいロゴのファイルと証明書は同時に差し替えてください。② 証明書を更新したら、BIMIレコードの切り替えまで確認するVMCの有効期間は約1年です。証明書を更新しても、BIMIレコードが古い証明書の場所を指したままでは、古い証明書の期限が切れた時点でロゴが表示されなくなります。更新とレコードの差し替えは、一つの手順として管理することが大切です。③ 設定の変更は、すぐには反映されない受信側は、BIMIレコードや取得したファイルを一定期間保存（キャッシュ）しています。設定を変えても、受信箱に反映されるまでには時間がかかります。④ 対応状況は、メールサービスごとに違うロゴの表示に対応しているかどうかは、受信側のメールサービスごとに異なります。2026年10月時点で、Gmail、Apple Mail／iCloudメール、auメール、Fastmailなどが対応しています。Outlook・Exchange Onlineは対応していません。また、Yahoo! JAPANのYahoo!メールはBIMIではなく、独自の掲載基準（ガイドライン）を設けた「ブランドアイコン」の仕組みで企業のロゴを表示しています。また、どの認証局が発行した証明書を受け入れるかも、メールサービスごとに決められています。検査ツールで「信頼できない」と判定されても、実際に表示されるかどうかは各サービスの判断次第です。最終的には、実際にメールを送って受信箱で確かめるのが確実です。⑤ サブドメインは、証明書に組織のドメインが1つあればよい証明書の対象ドメインに組織のドメイン（例：example.jp）が入っていれば、その下のサブドメイン（例：mail.example.jp）から送るメールも対象になります。サブドメインを1つずつ証明書に登録する必要はありません。ただし、DMARCのポリシーは、組織のドメイン側でも quarantine または reject にしておく必要があります。サブドメイン向けの設定（sp タグ）を none にしていると、組織のドメインから送ったメールでもロゴが表示されないことがあるため、注意が必要です。7. まとめ――ロゴは「確かめられた本物」の印受信箱に表示される企業ロゴは、送る側が「表示させている」ものではなく、受け取る側が「確かめたうえで表示している」ものです。その確認は、DMARCでなりすましでないことを確かめ、BIMIレコードで証明書とロゴの置き場所を知り、証明書で持ち主と権利を確かめ、最後にロゴが本物かを照合する、という順番で行われます。どれか1つでも欠ければロゴは表示されません。だからこそ、ロゴは受信者にとって「本物のメール」の目印になります。一方で、この仕組みは、正しい設定を続けて初めて機能します。証明書の更新、ロゴの変更、送信ドメインの追加など、導入後の運用でロゴが止まってしまう例も少なくありません。ロゴが表示されないときは、図3の順番で原因を切り分けてみてください。GMOブランドセキュリティの「企業ロゴ付きメール（BIMI）／企業ロゴ所有証明書（VMC）」DMARCの現状調査とポリシーの引き上げ支援、商標の確認、ロゴのSVG形式への変換、VMCの取得から更新の管理まで、導入と運用をご支援します。「設定したのにロゴが表示されない」といったご相談も承ります。サービス詳細：https://brandsecurity.gmo/security/service/bimi_vmc/8. よくある質問Q. BIMIを設定したのに、ロゴが表示されないのはなぜですか？受信側の判定が5段階のどこかで止まっている可能性があります。よくある原因は、DMARCのポリシーが none（監視のみ）のまま、BIMIレコードがない・書式が誤っている、証明書の有効期限切れや送信ドメインの不一致、ロゴのファイルと証明書の中のロゴの不一致、ロゴの形式（正方形でない、使えない要素がある）です。図3の順番で確かめてください。Q. BIMIを使うには、DMARCをどのように設定すればよいですか？DMARCのポリシーを quarantine（隔離）または reject（拒否）にします。none（監視のみ）のままでは、BIMIは評価されません。2026年5月にDMARCが RFC 9989 として標準化された際に pct タグは廃止され、現在はポリシー（p）の値だけで判断されます。Q. VMCとCMCの違いは何ですか？VMC（企業ロゴ所有証明書）は商標登録済みのロゴが対象で、Gmailでは青いチェックマーク（認証済みマーク）が付きます。CMC（先使用ロゴ所有証明書）は、1年以上の使用実績がある、商標登録していないロゴが対象です。CMCでもロゴは表示されますが、チェックマークは付きません。Q. 設定を変えてから、ロゴが表示されるまでに時間がかかるのはなぜですか？受信側のメールサービスが、BIMIレコードや取得したファイルを一定期間保存（キャッシュ）しているためです。設定を変えても、受信箱に反映されるまでには時間がかかります。最終的には、実際にメールを送って受信箱で確かめるのが確実です。Q. サブドメインから送るメールにも、ロゴは表示されますか？証明書の対象ドメインに組織のドメイン（例：example.jp）が入っていれば、その下のサブドメインから送るメールも対象になります。ただし、DMARCのサブドメイン向けの設定（sp タグ）を none にしていると、ロゴが表示されないことがあります。Q. Outlookでもロゴは表示されますか？2026年10月時点で、Outlook・Exchange Onlineは対応していません。対応しているのは、Gmail、Apple Mail／iCloudメール、auメール、Fastmailなどです。Yahoo! JAPANのYahoo!メールは、BIMIではなく独自の「ブランドアイコン」の仕組みで企業のロゴを表示しています。関連記事GMOインターネットグループのBIMI/VMC導入事例（グループ各社のメールに、正規メールのしるし。） https://www.brandsecurity.gmo/blog/2026/10/16/4vqw_ndrq/参考IETF「Brand Indicators for Message Identification (BIMI)」（draft-brand-indicators-for-message-identification）https://datatracker.ietf.org/doc/draft-brand-indicators-for-message-identification/RFC 9399「Internet X.509 Public Key Infrastructure: Logotypes in X.509 Certificates」https://www.rfc-editor.org/rfc/rfc9399.htmlRFC 9989「Domain-based Message Authentication, Reporting, and Conformance (DMARC)」（2026年5月）https://www.rfc-editor.org/rfc/rfc9989.htmlBIMI Group https://bimigroup.org/ ／ VMC発行元（MVA）一覧 https://bimigroup.org/vmc-issuers/Google Workspace 管理者ヘルプ「BIMI でブランドのロゴを表示する」https://support.google.com/a/answer/10911320Yahoo! JAPAN「Yahoo!メール ブランドアイコン」https://announcemail.yahoo.co.jp/brandicon_corp/ お問い合わせこちら
.svg){kind=small}
