メールの世界には、封筒も切手もありません。そのため「差出人欄」はいくらでも書き換えられてしまいます。手紙で言えば、誰でも封筒の裏に「〇〇銀行」と書いてポストに入れられる状態です。

そこで、受け取る側の郵便局（Gmailなどのメールサービス）が、届いた手紙を4つの係で調べるようになりました。

4つの違いを表で比べる

分かりやすい実例が、みずほ銀行です。みずほ銀行は、送るメールにブランドアイコンを表示するために、3つの別々の仕組みを導入しています（同行ページ、2026年3月26日現在）。

つまり、「ロゴが出る」という見た目は同じでも、裏側の仕組みは複数あるということです。そして、どの仕組みにも対応していないアプリでは、本物の銀行メールでもロゴは出ません。

主なメールサービスのBIMI対応（2026年9月時点で確認できた範囲）

※ 対応状況は各社の判断で変わります。また、対応しているサービスでも、送信元の評判などによってロゴを表示しないことがあります（BIMI Groupの説明）。

あなたがメールを開くまでの一瞬で、受信側のメールサービスは次の順番で確かめています。

1. メールが届く。差出人欄には「〇〇銀行 <[email protected]>」と書かれている。
2. SPFとDKIMを確認。登録された送信サーバーから来たか、電子署名が正しいかを調べる。
3. DMARCで照合。差出人欄の「example-bank.jp」と、②で確かめた名前が一致するかを見る。一致しなければ、銀行が宣言したルールで迷惑メールフォルダ行きや受け取り拒否に。
4. DMARCの「本気度」を確認。BIMIでロゴを出せるのは、銀行がDMARCを「隔離（quarantine）」か「拒否（reject）」で運用している場合だけ。「何もしない（none）」ではロゴは出ない。
5. BIMIの登録を読む。銀行がDNS（インターネット上の住所録）に書いた「ロゴ画像の場所」と「ロゴの登録証（VMC・CMC）の場所」を取りに行き、ロゴが本当に銀行のものか確かめる。
6. ロゴを表示。すべてに合格したら、受信トレイのアイコン欄に公式ロゴが出る。GmailでVMCが使われていれば、青いチェックマークも付く。

誤解①：ロゴが出ていないメールは偽物だ

違います。BIMIを入れるには、DMARCの強制運用、専用形式のロゴ画像、証明書の取得（VMCなら商標登録も）と、手間と費用がかかります。導入していない正規の会社はたくさんあります。また、Outlookのように対応していないアプリで見れば、どんな会社のメールでもロゴは出ません。

誤解②：ロゴが出ていれば100%安全だ

ほぼ信頼できる目印ですが、絶対ではありません。実際に次のような事件がありました。

誤解③：BIMIを入れればフィッシング対策は完了だ

違います。BIMIが直接役立つのは「本物のドメインを名乗る偽物」を見分けることです。似たドメインを使う詐欺、SMS（スミッシング）、電話、SNSのDMには効きません。そして何より、受け取る人がロゴを見ていなければ意味がありません。

ロゴの見え方と、とるべき行動

• A｜ロゴ＋認証済みマーク本物の可能性はかなり高い。それでも、パスワード入力や支払いを求める内容なら、メールのリンクではなく公式アプリ・ブックマークから確認。
• B｜ロゴだけ出ている①〜③には合格している目印。Yahoo Mail（米国）のように証明書なしで出る場合もあるので、Aより一段注意。
• C｜ロゴなし・警告なし判断材料にならない。BIMI未導入の正規メールかもしれないし、似たドメインの偽物かもしれない。差出人アドレスの綴りと内容で判断。
• D｜「なりすましの可能性」警告が出た最も危険。リンクを押さない、返信しない。気になる場合は公式サイトの問い合わせ窓口へ。

個人：ロゴを「使いこなす」3つの習慣

1. よく使う銀行・カード・通販のメールで、ロゴが出るか一度見ておく。「いつもはロゴがあるのに、今日のメールには無い」と気づけるようになります。
2. ロゴがあっても、ログインや支払いはメールのリンクから行わない。公式アプリかブックマークから開けば、ロゴの有無に関係なく安全です。
3. 「なりすましの可能性」などの警告は必ず読む。Gmailの赤い警告帯やドコモメールの警告表示は、①〜③の検問に落ちたサインです。

企業：ロゴより先に「検問」を固める

1. 自社名義でメールを送っている仕組みを全部洗い出す。自社サーバー、メルマガ配信サービス、請求システム、採用サービスなど。1つでも漏れると、DMARCを強めたときに本物のメールが届かなくなります。
2. DMARCを「none」で入れてレポートを読み、「quarantine」→「reject」へ進める。ここがBIMIの前提条件で、なりすまし対策としての本体です。
3. ロゴの証明書の種類を決める。商標登録済みならVMC、未登録でロゴを1年以上使っているならCMCが候補。Googleは、商標登録には通常6〜12か月かかると案内しています。

ここからはメール配信やDNSを担当する方向けです。値はすべて例（example.jp）です。

DNSに書く4つのレコード（例）

※ BIMI Groupの説明では、必須は v= と l=、証明書の a= は任意です。ただしGmailやAppleメールでロゴを出すには証明書が必要です。

Gmailでロゴを出すための主な条件

VMCとCMCの違い

導入の順番（つまずきやすい所つき）

1. 送信元の棚卸し：配信サービスごとにSPFのinclude、DKIMの署名ドメインを確認。見落としが一番多い工程です。
2. DMARCを p=none で公開：rua でレポートを集め、認証に失敗している正規の送信元を見つけて直す。
3. quarantine → reject へ段階的に：Gmail向けには pct=100 が必要。転送メールはSPFが失敗しやすいので、DKIMの一致を確保しておく。
4. ロゴをSVG Tiny PSに変換：通常のSVGのままでは受け付けられません。正方形・余白・背景色も確認。
5. VMCかCMCを取得：発行元の審査を受け、証明書（PEM）をHTTPSで公開。
6. BIMIレコードを公開して確認：default._bimi にTXTを追加し、BIMI Groupなどの検査ツールや自分宛てのテスト送信で表示を確かめる。