[アップデート] Amazon SES の Virtual Deliverability Manager のアドバイザー機能で BIMI 未設定を検出するようになりました

いわさです。

昨日 Amazon SES で利用出来る Virtual Deliverability Manager のダッシュボード機能に関するアップデートを紹介しました。

Virtual Deliverability Manager にはダッシュボードの他にアドバイザー機能があり、Trusted Advisor のような推奨事項を Amazon SES 向けに案内してくれます。
そんなアドバイザー機能にもアップデートがありました。

BIMI が未設定状態を検出してくれるようになったようです。
BIMI 自体は Amazon SES に関わらず以前から存在する概念ですが、マネジメントコンソールや Amazon SES 公式ドキュメントでもこれまでは BIMI に関する記述が無かったので設定していない方が多いのではと思います。
おそらく今回のアップデートに併せて Amazon SES 公式ドキュメントにも BIMI 設定方法が追加されています。（本日時点で英語のみ）

今回 BIMI の設定を行って実際に推奨事項がクリアになるところまで確認してみましたので紹介します。

Virtual Deliverability Manager で推奨事項を確認

新しく「レコードが見つからないか、デフォルトのセレクタなしで設定されています。」という推奨事項が生成されていました。
経過期間が 15 日間だったので、約 2 週間前から検出自体は出来るようになっていたのだと思われます。

影響度は「低」です。

アップデート自体は、このように検出されるようになったというところまでなのですが、[問題の解決] に BIMI のセットアップ方法に関する公式ドキュメントへのリンクが確認出来ますね。
こちらの BIMI に関する公式ドキュメントは（おそらく）最近追加されたものだと思います。
本日時点で BIMI の設定方法のみ英語版しか存在していませんでした。ちなみに、Amazon SES 公式ドキュメントは更新履歴が存在していません。BIMI自体は Amazon SES の規格ではなく SPF や DMARC などの他メール規格と同じ DNS レコードレベルの規格です。

せっかくなので、私が普段使用している Amazon SES 検証用ドメインを使って BIMI を設定し、推奨事項の解決まで確認してみましょう。

Amazon SES に BIMI を設定する

BIMI というのは Brand Indicators for Message Identification (BIMI) のことで、送信したメールにブランドロゴを表示させるための機能です。

BIMI を使ってロゴを表示するためにはいくつかの前提条件（DMARC や Verified Mark Certificate）があり、送信者の信頼性が高くなります。

Amazon SES では以下の設定手順が案内されておりいくつか前提条件もあります。
設定は DKIM などのように SES コンソールからポチとはいかず手動で DNS レコードの設定が必要です。

SVG 作成とアップロード

最終的には BIMI 用の TXT レコードに SVG ファイルの URL を指定する必要があります。

まずはそのためのロゴ画像が必要なので用意します。
ロゴファイルには様々な前提条件があります。

今回は以下の変換ツールを利用しました。

この SVG ファイルを Amazon S3 バケットへアップロードし、CLoudFront 経由でアクセス出来るようにしました。

必要に応じて Verified Mark Certificates (VMC) を取得する

BIMI 用のロゴが組織やドメインに関連付けられているかを証明するための証明書を取得します。
VMC 無しで BIMI の設定を行うことも可能です。SSL のオレオレ証明書に近いですが、一部のメールプロバイダーでは表示されるようです。

VMC はロゴの登録商標などの要件をクリアしつつ、外部認証局から発行してもらう必要があります。
詳細は以下をご確認ください。

今回私は VMC は使わずに設定を行っています。

Route 53 ホストゾーンへのレコード設定

先程の公式ドキュメントから前提条件の概要を抜粋します。

• DMARC が必須。そのために SPF/DKIM いずれか必要だが併用を推奨
• カスタム MAIL FROM を構成
• Easy DKIM でドメインを構成
• DMARC ポリシーは quarantine 100 か reject のどちらか

さらに、BIMI 用の TXT レコードを VMC（Verified Mark Certificate）無しで登録します。

% nslookup -type=TXT default._bimi.mail1.tak1wa.com
Server:		127.0.2.2
Address:	127.0.2.2#53

Non-authoritative answer:
default._bimi.mail1.tak1wa.com	text = "v=BIMI1;l=https://d656rohqh9cat.cloudfront.net/hogesvg.svg"

Authoritative answers can be found from:

冒頭の推奨事項で「デフォルトのセレクタなしで設定されています」という文言が表示されていました。
上記レコードdefault._bimi.mail1.tak1wa.comのdefaultはデフォルトセレクター用のレコードを指しています。
対象ドメインからのメール送信時に BIMI-Selector ヘッダーを付与して送信することで、どの BIMI レコードを使わせるか指定することが出来ます。これによってメール送信者側で複数の BIMI 用のロゴを切り替えることが出来ます。
この送信時ヘッダーを省略した場合はdefaultが使用されます。

動作確認

ここまでで BIMI の設定は完了しました。
VMC を取得しない場合であれば、適切な画像を用意して適切な DNS レコードを作ってそれで終わりです。

では動作確認をしてみましょう。

BIMI Inspector でレコード状態をチェック

メールで受信して確認したいところですが、その前に BIMI Inspector というもので DMARC などの設定も含めて BIMI 設定に関する DNS レコードのチェックが出来ますのでこちらを利用します。

適切に設定されていない（今回だと mail2.tak1wa.com）場合だと以下のようにエラー内容が表示されます。

メール受信して確認

実際に Amazon SES からメールを送信して適当なメールプロバイダーで受信してみましょう。

注意点として、多くのプロバイダーでは VMC が必須となっており、今回の私のように VMC 未設定の場合はロゴを表示しません。Gmail や Yahoo では表示されませんでした。
検証用に VMC 未設定でも表示可能なプロバイダーを探しましょう。以下の記事なども参考にしてください。

BIMI 未設定のドメインだと次のように表示されます。

今回 BIMI を設定したドメインでは次のように表示されました。

Virtual Deliverability Manager で推奨事項を再確認

BIMI のデフォルトセレクターレコードが設定されました。
少しタイムラグがありますが、Virtual Deliverability Manager からも推奨事項から消えたことを確認しました。（私の場合で 1 時間くらいで反映されました）

BIMI レコードを登録したmail1.tak1wa.comからは消えて、設定していないmail2.tak1wa.comでは推奨事項が残っていますね。

さいごに

本日は Amazon SES の Virtual Deliverability Manager のアドバイザー機能で BIMI 未設定が検出されるようになったので、BIMI の設定までを行ってみました。

影響度が「低」なので対応要否は判断必要ですが、Virtual Deliverability Manager をきっかけに未設定だと気づく方も多いはず。便利です。
Virtual Deliverability Manager はデフォルトでは無効の追加オプションになっていますので、利用出来るか検討してみてください。

Virtual Deliverability Manager は本日時点で通知機能が無いので、通知設定したいですね。
15 日前に推奨事項発生していたようですが、気づきませんでしたね。