Internet Infrastructure Review（IIR）Vol.71
2026年9月

2025年12月、IIJmioセーフティメールで提供中であるWebメール、"Mailviewer"において、BIMIを用いたブランドアイコンの表示機能が追加されました。

BIMIを利用したアイコンの表示機能に対応しているWebメールは、Google社のGmailが世間によく知られています。IIJで観測した限り、日本国内の各インターネットサービスプロバイダが提供するWebメールが後述するVMC及びCMCを区別してBIMI表示に対応したのはMailviewerが日本国内初です。

本稿では、BIMIの現在の仕様についての解説と、MailviewerでのBIMI表示について紹介をします。

IIJmioセーフティメールは、IIJが個人のお客様に提供しているメールサービスです。IIJでは、IIJmioブランドの前身である、IIJ4Uブランドを提供していた頃より個人のお客様向けにもメールサービスを提供しています。

サービス名が示すとおり、安全性を重視した設計になっており、ウイルススキャンやスパム検知機能、SPF・DKIM・DMARCといった送信ドメイン認証を利用したなりすましメール対策フィルタを、従来から提供しています。そんなIIJmioセーフティメールで提供しているWebメール「Mailviewer」は2000年代に提供を開始した、IIJ謹製のWebメールシステムです。当時はメールを読む、書くという最低限の機能しか備えておらず、名前の由来もそのあたりから来ています。2021年12月にリニューアルをして、現在多くの機能を備えたWebメールとしてMailviewerの名をそのまま受け継ぎ、サービス提供を続けています。

今回のブランドアイコン表示機能は、そんなMailviewerに新たに加わったBIMIという仕組みを使った機能です。

BIMIとは、Brand Indicators for Message Identificationの略です。WebメールやMUA（Mail User Agent）でブランドアイコンを表示するための規格であり、IETFでInternet Draftとして2019年2月から公開されています。

BIMIはBIMI groupにて様々な議論がされていますが、RFCとして採番をされているわけではありません。SPF、DKIM、DMARCからなる送信ドメイン認証技術を応用して、ブランドアイコンの表示／非表示をするための仕組みですが、一般のメールユーザがメールを実際に参照するアプリケーションは様々であり、提供している企業によって実装が多様であるため、明確に規格があるわけではなく、あくまでもロゴマーク表示のための指針として議論がされているようです。

BIMIには、表示するブランドアイコンファイル用の電子証明書が存在し、VMC（Verified Mark Certificate）とCMC（Common Mark Certificate）の2種類があります。

それぞれの違いは表-1のとおりです。

CMCについては、シーズンごとにアイコンの一部を装飾したり、VMCを取得するまでの間利用する、といった用途での利用が想定されているようです。VMCは商標登録したアイコンにしか使えないため、企業が提供するサービスによってはCMCを用いてシーズンごとに切り替えたりすることができれば、ユーザ目線でも分かりやすいかもしれません。

例えばIIJmioの場合、青を基調としたデザインとピンクを基調にしたデザインがあるため、CMCを利用することでユーザの皆様に送るメールの種類によってアイコン画面の出し分けが可能です。

VMCを用いた場合は、すべてのアイコンについてそれぞれ個別に商標登録をしなければならないため、アイコンの種類が膨大にあるブランドであったりすると、CMCの方が使い勝手は良いかもしれません。

また、時期によってアイコンを少し変えたい、というようなメール送信側の需要に応える側面もあるため、ブランド広告メールへのシーズンアイコンなどに利用することもCMCを利用することで実現できます。

これらの証明書は、BIMI GroupによるとDigiCert、GlobalSign、SSL.comが対応した証明書を発行しているとのことです^（注1）。VMC、CMCは表示するアイコン画像ファイルに対する電子署名であり、受信システムの評価の方法に依存しますが、MVA（Mark Verifying Authority）として広く知られている認証局から発行されたものでないと効果を発揮しない場合が多いです。また、これらの証明書は必須ではありません。証明書を検証するかどうかは、受信したメールを表示する各WebメールやMUAの実装に委ねられています。

前述したように、BIMIは送信ドメイン認証技術の元に成り立っており、ブランドアイコンを表示するための前提として、そのメールの送信元ドメイン（RFC5322.From）と、その親ドメインのDMARCポリシーがquarantineまたはrejectでないと表示ができません。

DMARCポリシーについては以前、IIR Vol.55でIIJで利用しているiij.ad.jpのポリシーをp=rejectにしたことをIIRに書いていますので、参考にしてください^（注2）。

さて、BIMIについて話してきましたが、IIJmioセーフティメールでは2025年12月にMailviewerにてブランドアイコン表示機能を実装しました^（注4）。

IIJではお客様に提供する各メールサービスにて、SPF、DKIM、DMARCといった送信ドメイン認証技術にいち早く対応をしてきました。今回のブランドアイコン表示機能についても、IIJmioセーフティメールの利用者向けになりすましメール被害を少しでも防ぐための機能として実装をしています。

図-6はCMCを用いた際の表示例です。MailviewerではVMCに対応したブランドロゴの場合、差出人の右に緑のチェックマークが表示されます。

ブランドアイコン表示はいわば、自宅の表札を出すようなものです。表札（ロゴファイル）と、その表札が本物であることを証明する身分証明書（VMC/CMC）を、誰でも確認できる場所に掲げておく。メールを受け取った側のシステムは、メールが届くたびにこの「表札」を確認しに行き、本物であることが確認できれば、初めてロゴを表示する、という流れになっています。この確認作業はすべて自動で行われるため、利用者が意識することはありません。

これまでMailviewerでは、送信者の情報はメールアドレスや表示名でしか判断できませんでした。本機能により、DMARCを厳格に運用しBIMIレコードと証明書を正しく公開している送信元からのメールであれば、企業のロゴが一覧画面に表示されるようになります。

利用者にとっては、見慣れたロゴが表示されているかどうかが、「本当にその企業から届いたメールか」を直感的に見分ける手がかりの1つになります。もちろんBIMI表示だけで100%の安全を保証するものではありませんが、なりすましメールとの違いに気づくきっかけを増やすという点で、実用的な効果が期待できます。

BIMIという仕組み自体には、迷惑メールやフィッシングメールを防ぐ根本的な効果はありません。あくまでブランドアイコンを表示することでメールを参照するユーザに対してそのメールが正規の送信元から送信されているメールかどうかの判断を補助する役割を果たします。ただ、ブランドアイコンを表示するためにはDMARC認証をパスする必要があるため結果的に一定のセキュリティが担保されているような形になります。

BIMIは長年、internet draftという形でIETFで各文書が公開されています。メールに限らず、これらは時間を経てRFCに採番されることが多いですが、BIMIについてはメールを表示するアプリケーションの数も多く実装も様々であるため現在はすぐに明確な国際規格として制定せずに、メール関連技術における1つの指針として多くの関係者の間でinternet draftとして継続的に議論がされています。

昨今、迷惑メールやフィッシングメールの被害が急増していることもあり、多くの企業が送信ドメイン認証やBIMIへの対応を進めています。送信ドメイン認証技術を土台としたこの仕組みは、フィッシング対策とブランド保護の両面から、今後更に多くのメールサービスへ広がっていくことが見込まれます。特に、商標登録を必要としないCMCの普及が進めば、これまでコストの面でBIMI導入をためらっていた企業にとっても対応への敷居が下がり、結果として「ロゴが表示されていないメールの方が珍しい」という世の中になっていく可能性もあります。

IIJは今回、国内のプロバイダに先駆けてMailviewerへのBIMI表示機能を実装しました。今後もお客様がより安心してメールをご利用いただけるよう、なりすましメール対策フィルタやウイルスプロテクションといった既存のメールフィルタリング機能と併せて、セキュリティ関連機能の充実に取り組んでまいります。