Gmail을 열어 발신자 이름 옆 작은 원들을 보자. 어떤 건 색 원반 위에 글자 하나 — Gmail이 더 나은 게 없을 때 그리는 기본값이다. 몇 개는 진짜 브랜드 로고를 보여 준다. 그리고 가끔, 로고 옆에 파란 체크마크가 붙은 게 있다. Gmail이 2023년에 추가한, 이 발신자는 자기가 주장하는 그 사람이 맞다고 말하는 표식이다.
그 로고는 BIMI — Brand Indicators for Message Identification — 라는 표준의 보상이다. 홍보 문구는 단순하고 매력적이다: 검증된 로고를 받은편지함에 띄워라, 인지되고, 신뢰받고, 열리게 하라. 아무도 앞세우지 않는 부분은 청구서다. 그 로고를 Gmail이나 Apple Mail에 띄우려면 프로토콜을 설정하는 게 아니다. 인증서를 사야 하고, 그건 매년, 영원히, 대략 1,000~1,500달러가 든다.
그 가격의 이상한 점: 그중 BIMI 값은 거의 없다. BIMI 자체는 공짜다.
프로토콜은 DNS 레코드 하나와 그림 한 장
BIMI를 벗겨 보면 별게 없다. default._bimi.yourdomain.com에 DNS TXT 레코드를 하나 게시한다. 그건 당신이 호스팅하는 SVG 파일 — 구체적으로 SVG Tiny Portable/Secure, 스크립트·외부 참조·애니메이션이 없고 정사각 비율인 잠긴 프로파일 — 을 가리킨다. 그게 프로토콜이다. 텍스트 레코드 하나와 당신 서버의 이미지 하나. 설정에 드는 10분 말고는 공짜다.
그게 이야기의 전부라면 지금쯤 지구상 모든 도메인이 받은편지함에 로고를 갖고 있을 것이다. 그렇지 않은 건, 실질적으로 중요한 두 메일 사업자가 조건을 붙였기 때문이다. Gmail과 Apple Mail은 DNS 레코드만으로는 당신의 로고를 렌더하지 않는다. 그 레코드가 Verified Mark Certificate(VMC)도 가리킬 것을 요구한다 — DigiCert와 Entrust를 필두로 한 짧은 목록의 인증기관이 발급하는 인증서다. 1,000달러가 가는 곳이 바로 이 인증서다. 2026년 중반 기준 DigiCert의 마크 인증서 정가는 연 1,400달러 안팎이다.
그러니 BIMI의 반복 비용은 BIMI의 비용이 아니다. 받은편지함 사업자들이 세우기로 선택하고, 인증기관이 걷는 통행료다 — 당신이 이미 소유하고 이미 호스팅하는 이미지를 표시하는 특권에 대한.
그 인증서가 실제로 검증하는 것
당신의 1,000달러가 무엇을 사는지 정확히 해 둘 가치가 있다. 대부분의 짐작과 다르기 때문이다. VMC는 당신이 좋은 메일을 보낸다거나, 스패머가 아니라거나, 당신 메시지가 안전하다는 걸 검증하지 않는다. 딱 한 가지 좁은 것을 검증한다: 당신 BIMI 레코드의 로고가, 인증기관이 인정하는 관할(USPTO·EUIPO 및 소수) 안에서 당신이 보유한 등록 상표와 일치한다는 것.
그 상표 요건이, 대부분의 BIMI 비용 분석이 건너뛰는 두 번째 숨은 비용이다. 로고에 대한 등록 상표가 이미 없다면, 하나 등록하기 전까지 VMC를 받을 수 없고, 상표 등록은 그 자체로 여러 해가 걸리는 절차에 정부 수수료와 대개 변호사가 붙는다. “연 1,000달러”는 훨씬 긴 선결 조건 사슬의 눈에 보이는 끄트머리다.
상표 검사에는 진짜 이유가 있고, 정당하게 인정해 두고 싶다. 어떤 형태의 심사도 없다면, 누구나 은행 로고를 자기 BIMI 레코드에 넣어, 사용자가 신뢰 신호를 찾도록 훈련된 바로 그 자리에 완벽한 사칭을 그려 넣을 수 있다. VMC가 존재하는 건 로고가 이 브랜드가 실제로 이 마크를 통제한다를 뜻하게 하려는 것이지 누군가 PNG URL을 타이핑했다가 아니게 하려는 것이다. 사칭 방지 장치로서, 로고를 등록 상표에 묶는 건 방어할 만한 설계다.
문제는 그게 누구를 방어하고, 누구를 가격으로 밀어내느냐다.
감당할 수 있는 이들이 가장 위험이 적은 이들
BIMI 자격을 갖추기라도 하려면, 당신은 이미 DMARC 시행 상태여야 한다 — 모든 메일에 적용된 p=quarantine이나 p=reject 정책, 그 아래 정렬된 SPF·DKIM. 선택이 아니다; Gmail과 Apple은 무엇이든 보여 주기 전에 이걸 확인한다. 그리고 시행에 도달하는 것이 이메일 인증에서 어려운 부분이다. 그게 당신 도메인이 스푸핑당하는 걸 실제로 막는 작업이다. 리포트를 몇 달 모니터링하고, 정당한 발송 소스를 전부 고치고, 마침내 정책을 권고에서 구속으로 돌리는 일이다.
이게 무슨 뜻인지 보라. 한 도메인이 로고 자격을 갖출 무렵이면, 이미 보안상 의미 있는 여정 전부를 — 공짜로 — 끝낸 상태다. DMARC 시행이 중요한 통제이고, 그건 노력 말고는 비용이 안 든다. BIMI는 이미 끝낸 작업에 대한 겉치레 보상으로 그 위에 얹힌다. 로고가 당신 메일을 더 진짜로 만드는 게 아니다. 로고가 나타나기 전에 이미 당신 메일은 프로토콜이 만들 수 있는 만큼 진짜였다.
여기에 상표 요건까지 더하면, BIMI 로고를 얻을 수 있는 집단은 (a) DMARC 시행에 도달했고, (b) 등록 상표를 보유하고, (c) 매년 네 자릿수를 무기한 낼 조직으로 좁혀진다. 그건 확립된, 자원이 풍부한 브랜드에 대한 서술이다. 값싸고 대량인 피싱의 출처가 될 가능성이 가장 낮은 발신자 — 이미 인터넷에서 가장 잘 방어된 도메인들 — 의 집합과 거의 정확히 일치한다. BIMI가 닫는 사칭 문제는 실재하지만 좁고, 통행료 문은 그게 가장 덜 필요했던 이들 앞에 놓여 있다.
”싼” 옵션이 싸지 않은 이유
업계는 상표 요건이 등록 마크 없는 모두를 걸러 낸다는 걸 알아챘고, 그래서 2023년 두 번째 인증서가 등장했다: Common Mark Certificate, 즉 CMC다. CMC는 상표 요건을 뺀다 — 로고 소유를 다른 방식으로 증명할 수 있다 — 그러니 BIMI로 들어가는 저가 문처럼 들린다.
가격을 보면 그 문은 그리 싸지 않다. CMC는 연 1,089~1,099달러 정도로, 1,400달러에 가까운 VMC 대비 기껏 몇백 달러 할인이다. 그리고 CMC는 더 적게 산다: 로고는 띄워 주지만 Gmail의 파란 검증 체크마크는 주지 않는다 — 그건 VMC 전용으로 남아 있다. 그러니 “합리적” 등급은 반올림 오차만큼을 아껴 주고, 사람들이 실제로 알아채는 신뢰 신호를 담는다고 할 만한 유일한 시각 요소 — 체크마크 — 를 앗아 간다. 로고가 돈 낼 값어치라면 CMC는 나쁜 거래이고; 아니라면 CMC도 여전히 1,000달러다.
내가 실제로 권하는 것
DMARC 작업을 하라. 전부. 정렬된 SPF·DKIM과 함께 p=reject까지 가라. 그게 당신 도메인이 위조되는 걸 막고, 수신자를 보호하고, — Gmail·Yahoo의 2024년 발송자 규칙 이후로 — 당신 메일이 애초에 도착하는지를 점점 더 좌우하는 부분이기 때문이다. 공짜이고, 진짜 보안 이득이고, 로고가 뜨든 말든 모든 도메인이 가져야 할 것이다.
그다음 BIMI를 있는 그대로 대하라: 보안 통제가 아니라 마케팅 항목이다. 인증서는 아무것도 강화하지 않는다. 받은편지함의 그림 한 장을 EV 인증서처럼 값 매겨 당신에게 임대할 뿐이다 — DNS 레코드로 당신 로고를 공짜로 렌더할 수도 있었지만 대신 그 중간에 인증기관을 세우기로 한 두 회사가 문을 지킨다. 인지도로 흥하고 망하는 소비자 브랜드라면, 수백만 받은편지함의 로고가 진짜로 연 1,400달러의 값을 할 수도 있다 — 그건 진짜 마케팅 계산이고, 어떤 브랜드에겐 흑자로 나온다. 다만 그걸 마케팅 계산으로 돌려라. 보안으로 위장한 채 예산에 슬쩍 태우지 말고, 저가 등급이 뭔가 아껴 준다고 믿지 마라.
그림은 괜찮다. 무엇을 사는지, 그리고 누가 그 값을 매겼는지 또렷이 보라.