Yahoo! JAPAN での BIMI 導⼊
ヤフー株式会社 サービス統括本部開発本部 中村 成陽©2022 Yahoo Japan Corporation All rights reserved.

⾃⼰紹介

中村 成陽（なかむら まさはる）
簡単な経歴

2013/04〜 経路探索サービスを提供する会社 エンジニア

2016/11〜 ヤフー株式会社 エンジニア
Yahoo!メールの迷惑メール対策チームに配属
2020/04〜 チームのマネージャーとなる
2021/10〜 “第11代⿊帯〜メッセージング技術〜” を拝命
2022/10〜 “第12代⿊帯〜メッセージング技術〜” を拝命©2022 Yahoo Japan Corporation All rights reserved.

2

今⽇のお話Yahoo! JAPAN での BIMI の導⼊事例をその仕様や注意点を交えて紹介します
みなさまの BIMI 導⼊の参考になれば幸いです©2022 Yahoo Japan Corporation All rights reserved.

3

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

4

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

5

1.そもそも BIMI とは︖

BIMI (Brand Indicators for Message Identiﬁcation)•認証に成功した正規のメールに、その送信元である企業やサービスのロゴマークを表⽰する仕組み•正式なメールであるか、そうでないかの認識をサポートする効果が期待できる• Internet dra* の段階であり、RFC にはなっていない•Gmail が 2021/07 に正式対応、Apple も今年の秋に対応した•送信元の正当性を保証するための認証の仕組み
としては DMARC を採⽤©2022 Yahoo Japan Corporation All rights reserved.

6

1.そもそも BIMI とは︖

BIMI 導⼊の条件•DMARC レコードが宣⾔されておりなおかつ DMARC ポリシーが quaran,ne もしくは reject に設定されていること•none を許容しないことで より厳密な SPF 及び DKIM の設定を送信者に求め
BIMI によってロゴが表⽰されているメールへの信頼性を⾼めている•VMC (Veriﬁed Mark Cer,ﬁcate) を取得すること•商標登録されているロゴを検証し、 BIMI を表⽰させるため証明書•現在は 2 社の認証局から発⾏されている•証明書（ pem 形式）とロゴマーク（ svg 形式）を DNS の TXT レコードに決められた書式で宣⾔する。これを「BIMI レコード」という©2022 Yahoo Japan Corporation All rights reserved.

7

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

8

2.BIMI 導⼊の経緯

ヤフーを騙るフィッシングメールの流⾏•Yahoo! JAPAN や関連サービスを騙るフィッシングサイトが多く発⽣しており、そこへ誘導する SMS やメールも横⾏した•特にコロナ禍以降に顕著となっている印象•例えば Gmail など BIMI に対応したメールアドレスをYahoo! JAPAN のアカウントのメインメールアドレスに設定しているユーザーに対しフィッシングの被害を防⽌するため•Yahoo!メール内では従来より正規のメールにはY!のアイコンを表⽰している©2022 Yahoo Japan Corporation All rights reserved.

9

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

10

3.導⼊にあたっての苦労話

DMARC ポリシーの quarantine 化•メール送信を⾏う社内PFなどは存在する•Yahoo! JAPAN としては提供期間も⻑く様々なサービスがあるため、どのような送信元があり、そこからのメールの認証状況がどうなっているかなど把握しきれずにいた•DMARCレポートを活⽤することで状況を把握し、 quaran5ne 化を実現した

DMARC のポリシーを引き上げることはBIMI 導⼊の条件としての以外の観点でもメリットが⼤きいため積極的に検討してください©2022 Yahoo Japan Corporation All rights reserved.

11

3.導⼊にあたっての苦労話

ロゴの商標に関して•VMCの発⾏に際しては、その企業が所有して商標登録しているロゴを利⽤する必要がある•関係のない第三者に勝⼿にロゴが利⽤されてしまうのを防ぐため•ヤフーの”Y!”のロゴは従来、⽇本のヤフー株式会社ではない別の⽶国企業が商標を所有しており、その利⽤に制限がある状態だった•2021年7⽉に”「ヤフージャパン ライセンス契約」に係る基本契約締結のお知らせ”を発表•これにより、”Y!”のロゴの権利者がわれわれヤフー株式会社となり、晴れて BIMI で表⽰するロゴとして利⽤できるようになった
BIMI で利⽤したいロゴの商標が登録されているか、そしてその権利者は想定通りかどうかは、必ずご確認いただくべき事項かと思います©2022 Yahoo Japan Corporation All rights reserved.

12

3.導⼊にあたっての苦労話

組織ドメインおよびサブドメインにおける BIMI の仕様•Internet Dra* には以下のような記載があります
If a subdomain policy is published it MUST NOT be “none”

To participate in BIMI, Domain Owners MUST have a strong [DMARC] policy(quarantine or reject) on both the Organizational Domain, and theRFC5322.From Domain of the message.

「BIMI に対応するドメインは、その親⼦のドメイン含め全て DMARCポリシーの条件を満たす状態にしなければならない」という仕様©2022 Yahoo Japan Corporation All rights reserved.

13

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

14

4.Yahoo!メールでの展望

Yahoo!メールでの BIMI 導⼊は•ユーザーメリットも⼤きいと考えているので、導⼊する⽅針で検討中•まずは独⾃機能である「ブランドアイコン」をより普及させることを考えている•ブランドアイコンではメールの詳細画⾯に送信元の企業やサービス名、そしてそのリンクを表⽰している•BIMIに対応したサービスでは、アイコンを表⽰している理由を明⽰していないケースが多い•VMC（証明書）の組織名を表⽰するのも⼀つの⽅法…︖©2022 Yahoo Japan Corporation All rights reserved.

15

4.Yahoo!メールでの展望

Yahoo!メールのUIにおけるなりすましメール対策「Yahoo!メール セキュリティ・プライバシーへの取り組み」が2022年度グッドデザイン賞を受賞しました︕©2022 Yahoo Japan Corporation All rights reserved.

16

4.Yahoo!メールでの展望

Yahoo!メールのUIにおけるなりすましメール対策
ブランドアイコン・ブランドカラー©2022 Yahoo Japan Corporation All rights reserved.

なりすまし警告表⽰

17

アジェンダ1. そもそも BIMI とは︖
2. BIMI 導⼊の経緯
3. 導⼊にあたっての苦労話
4. Yahoo!メールでの展望
5. 後⽇談©2022 Yahoo Japan Corporation All rights reserved.

18

5.後⽇談Gmail でロゴが表⽰されなくなった…
•Gmail にて対応当初は表⽰されていた Y! ロゴが、10⽉22⽇頃に表⽰されなくなった…
•iCloud メールなど他の対応サービスでは表⽰されている•BIMI Group の提供する “BIMI Inspector” のチェックも全て pass となっている©2022 Yahoo Japan Corporation All rights reserved.

19

5.後⽇談BIMI の現状と注意点•Internet Dra* の段階ということもあり、各社で基準にバラつきがある模様• ⽶国の Yahoo! Mail では、VMC を必須とせず独⾃基準による表⽰もしている•状況を常にキャッチアップして対応いくことが重要©2022 Yahoo Japan Corporation All rights reserved.

20

本⽇のお話しの⼀部と、細かいBIMIレコードの内容に関する説明などは以下「Yahoo! JAPAN Tech Blog」にも掲載しています
https://techblog.yahoo.co.jp/entry/2022090630337096/©2022 Yahoo Japan Corporation All rights reserved.

21

©2022 Yahoo Japan Corporation All rights reserved.