Infraestructura de email
BIMI: el logo verificado, y lo que de verdad cuesta ganárselo.
BIMI pone el logo de tu marca junto al correo autenticado en bandejas compatibles — pero es el premio visible de un trabajo hecho antes, no una función aislada. El requisito que lo condiciona es DMARC en aplicación (p=quarantine o p=reject, pct=100), sostenido unos 30 días. Luego el logo necesita un archivo SVG Tiny PS y, para Gmail y Apple Mail, un certificado: un VMC si tienes una marca registrada y quieres el tic azul, o un CMC si no la tienes pero puedes probar 12 meses de uso del logo. El tic en sí es solo de VMC.
En breve
- La aplicación de DMARC va primero. Sin p=quarantine ni p=reject, no hay logo — en p=none BIMI simplemente no se activa.
- El logo debe ser SVG Tiny PS. No un SVG/PNG/JPEG normal; menos de 32 KB, cuadrado 1:1, sin scripts.
- El VMC desbloquea el tic azul. Necesita una marca registrada; un CMC muestra el logo sin el tic.
- El comportamiento por proveedor difiere. Gmail necesita un certificado; Yahoo y Fastmail pueden mostrar un logo autodeclarado; Apple Mail es territorio de certificado.
- Es una señal de confianza, no un impulso mágico. Las cifras de interacción de los vendors son orientativas; el caso honesto es más estrecho.
¿Qué es BIMI y por qué se asienta sobre DMARC?
BIMI es un estándar basado en DNS que permite a un remitente mostrar un logo de marca verificado junto al correo autenticado en bandejas compatibles. BIMI en sí es el conjunto de instrucciones en el DNS; el certificado es lo que demuestra que el logo es de verdad tuyo. Definido como el estándar BIMI (RFC 9495), se entiende mejor como la guinda visible sobre una base invisible: la base es una autenticación de correo sólida, y el logo es la recompensa por haberla construido. Por eso no se puede comprar como atajo. Un proveedor receptor solo recurre a tu logo después de confirmar que tu correo es de verdad tuyo, algo que establece mediante DMARC.
El requisito que lo condiciona, expuesto con claridad por Google y por cada autoridad de certificación, es DMARC en aplicación. Tu política debe ser p=quarantine o p=reject con pct=100; BIMI no admite p=none, porque una política solo de monitorización le dice al proveedor que aún estás observando en vez de rechazar activamente el correo falsificado. La mayoría de los proveedores también quieren ver unos treinta días consecutivos en aplicación antes de mostrar un logo, así que no es un proyecto de la misma tarde ni siquiera una vez que la política cambia.
Esta secuencia es lo más importante que interiorizar, porque reencuadra BIMI por completo. No es un añadido de marketing que atornillas al final; es la confirmación visible de que el trabajo de autenticación poco vistoso — SPF y DKIM alineados, DMARC movido a aplicación sin romper a los remitentes legítimos — está de verdad hecho. Si has leído nuestras piezas sobre mover DMARC a aplicación y mantener SPF bajo su límite de búsquedas, BIMI es lo que esos esfuerzos finalmente hacen posible.
Qué va en el DNS, y qué debe ser el archivo del logo
BIMI vive en un único registro TXT en el subdominio default._bimi. Lleva dos etiquetas
que importan: l=, la URL HTTPS de tu logo, y a=, la URL HTTPS de tu PEM de
certificado. Para una configuración autodeclarada sin certificado, dejas a= en blanco.
# La aserción BIMI — un registro TXT en default._bimi
default._bimi.example.com. TXT "v=BIMI1;
l=https://example.com/bimi/logo.svg;
a=https://example.com/bimi/cert.pem"
# l = el logo SVG Tiny PS · a = el PEM del VMC/CMC (omite a= si es autodeclarado)El logo es donde tropiezan la mayoría de las configuraciones, porque BIMI no acepta archivos de imagen normales. Exige el perfil SVG Tiny Portable/Secure, que despoja deliberadamente scripts y referencias externas para que el archivo no pueda llevar nada dañino, y debe ser un cuadrado 1:1 de menos de 32 KB con dimensiones en píxeles absolutos y un elemento title.
# El logo debe ser SVG Tiny PS — no un SVG normal, PNG ni JPEG
<svg xmlns="http://www.w3.org/2000/svg"
baseProfile="tiny-ps" version="1.2"
width="96" height="96" viewBox="0 0 96 96">
<title>Example Inc</title> # obligatorio
<!-- sin <script>, sin refs externas, < 32 KB, cuadrado 1:1 -->
</svg>VMC o CMC: ¿qué certificado necesitas de verdad?
Ambos certificados hacen el mismo trabajo central — demostrar a un proveedor que el logo de tu registro BIMI es legítimamente tuyo — y ambos llegan como archivo PEM X.509. La diferencia es contra qué verifican y qué desbloquean. Un Verified Mark Certificate está atado a una marca figurativa registrada, validada por una CA acreditada contra registros de propiedad intelectual gubernamentales. Desbloquea el tic azul verificado de Gmail, además de la visualización del logo en Gmail, Yahoo y Apple Mail. La trampa es la marca: el propio proceso de registro puede llevar de 6 a 12 meses si no tienes ya una.
Un Common Mark Certificate fue introducido por Google a principios de 2025 para ampliar la elegibilidad. No exige marca registrada — acepta prueba de al menos 12 meses de uso público del logo en su lugar — y muestra el logo en Gmail pero sin el tic. En otras palabras, un CMC mete tu logo en Gmail sin la burocracia ni el coste de una marca registrada, al precio del tic azul. Es la vía pragmática para marcas SaaS y de comercio electrónico sin marca registrada.
La decisión es por tanto más simple de lo que hacen sonar las páginas de los vendors. Si ya tienes una marca figurativa registrada y el tic es estratégicamente valioso, consigue un VMC. En cualquier otro caso — sin marca registrada, o el tic no vale un año de trabajo de marca — un CMC es la elección pragmática: más barato, más rápido y suficiente para mostrar el logo en Gmail. Ambos aún exigen la misma aplicación de DMARC y el mismo logo SVG Tiny PS por debajo.
Soporte por proveedor
¿Quién muestra qué?
BIMI no es una experiencia uniforme; cada proveedor decide qué muestra y con qué evidencia.
| Proveedor | Comportamiento |
|---|---|
| Gmail | Exige un VMC o CMC para mostrar el logo; el tic azul verificado está reservado solo para VMC. |
| Apple Mail | Territorio de certificado — planifica un VMC; no cuentes con la visualización autodeclarada. (El Branded Mail aparte de Apple, vía Business Connect, es otro canal.) |
| Yahoo / Fastmail | Pueden mostrar un logo autodeclarado sin certificado, aunque sus propias comprobaciones de reputación y autenticación aún lo condicionan. Útil para una primera prueba de bajo riesgo. |
La implicación práctica es partir de tu mezcla de destinatarios, no del certificado. Una marca de consumo con mucho tráfico de Gmail y Apple Mail debería planear un certificado desde el principio, porque la visualización autodeclarada no llegará a las bandejas que le importan. Un remitente cuya audiencia temprana es sobre todo Yahoo o Fastmail puede publicar primero un registro autodeclarado como prueba de bajo riesgo, y añadir un certificado cuando el alcance en Gmail merezca la pena.
Configuración
De la aplicación al logo, paso a paso
Seis pasos en orden de dependencia. El primero es el que más proyectos subestiman.
- 1
Lleva DMARC a aplicación primero
BIMI no hace nada en p=none. Mueve tu política DMARC a p=quarantine o p=reject con pct=100, confirma que cada remitente legítimo sigue pasando, y planea quedarte en aplicación unos 30 días consecutivos, que es aproximadamente lo que los proveedores quieren ver antes de mostrar un logo.
- 2
Decide VMC o CMC
Si tienes una marca figurativa registrada y el tic azul de Gmail te importa, elige un VMC. Si no tienes marca registrada pero puedes demostrar al menos 12 meses de uso público del logo, un CMC muestra el logo en Gmail sin el tic — es la vía pragmática para la mayoría de marcas sin marca registrada.
- 3
Produce un logo SVG Tiny PS
Convierte tu logo al perfil SVG Tiny Portable/Secure, no un SVG normal. Debe ser un cuadrado 1:1, de menos de 32 KB, centrado, con dimensiones en píxeles absolutos y un elemento title, y no debe contener scripts ni referencias externas, que los proveedores rechazan por seguridad.
- 4
Obtén el certificado y ensambla el PEM
Solicita a una CA aprobada por BIMI con tu SVG. Cuando se emita el VMC o CMC recibes un certificado de entidad; añade los certificados de CA intermedia y raíz en el orden emitido para construir el archivo PEM al que apuntará el registro BIMI.
- 5
Aloja los activos y publica el registro BIMI
Sirve el SVG y el PEM por HTTPS donde sean accesibles externamente, luego publica un registro TXT en default._bimi con la etiqueta l= apuntando al SVG y la etiqueta a= apuntando al PEM. Para una prueba autodeclarada, deja a= en blanco.
- 6
Prueba, luego monitoriza
Confirma la resolución DNS, comprueba que las URL del SVG y del PEM cargan externamente, envía correo de prueba a Gmail, Apple Mail y Yahoo, y deja unos días para que aparezca el logo. Sigue leyendo tus informes DMARC después, porque un nuevo remitente desalineado puede romper en silencio la alineación de la que depende BIMI.
Toda la secuencia está condicionada por el primer paso, por lo que los equipos que ya ejecutan DMARC en aplicación pueden llegar a un logo en días mientras los que parten de p=none miran semanas — la mayoría gastadas observando informes para asegurarse de que el cambio de política no deja varado a un remitente legítimo.
Cuando no aparece
La cadena que un proveedor comprueba antes de mostrar tu logo
Cada eslabón debe pasar antes de que el siguiente se evalúe siquiera — por eso el orden de depuración importa.
Cuando un logo no aparece, depura en este orden, porque nunca se llega a un eslabón posterior si uno anterior falla. La primera causa, abrumadora, es que DMARC no está de verdad en aplicación; después, un logo que no es verdadero SVG Tiny PS, una URL de activo inaccesible desde fuera, una cadena de certificado caducada o mal ordenada y — uno callado — esperar un tic de un CMC, que nunca lo produce.
BIMI como señal anti-suplantación, no solo decoración
Es fácil archivar BIMI bajo marca, pero su justificación más duradera es defensiva. El phishing y la suplantación de marca son una constante, y un destinatario que escanea una bandeja abarrotada tiene muy poco con lo que decidir si un mensaje es de verdad de una empresa en la que confía. Un logo verificado, respaldado por un certificado que una autoridad de certificación comprobó contra registros de marca o de uso, es una señal genuinamente difícil de reproducir para un suplantador, porque el suplantador no puede pasar la alineación de DMARC ni la validación de certificado que hay detrás.
Eso reencuadra para quién es BIMI. Las marcas que más se benefician son justo las más suplantadas: bancos, minoristas, grandes servicios de consumo — remitentes cuyo nombre vale la pena falsificar. Para ellos, el logo no es vanidad; es una forma de hacer el mensaje auténtico visiblemente distinto del falso, en el único sitio donde el destinatario de verdad mira. La señal de confianza y el control de seguridad son la misma cosa vista desde dos ángulos, lo que es parte de por qué los proveedores atan el logo tan estrechamente a la aplicación.
También significa que el valor es asimétrico entre tipos de remitente, y conviene ser honesto al respecto. Un remitente de empresa a empresa cuyo correo aterriza sobre todo en bandejas corporativas, o un remitente interno de bajo volumen, saca mucho menos de un logo verificado que una marca de consumo de alto volumen, porque el contexto del destinatario es distinto y el riesgo de suplantación es menor. La tecnología es la misma; el retorno sobre el coste del certificado no.
Qué mantiene BIMI funcionando tras la puesta en marcha
BIMI no es un registro de poner y olvidar, y conviene entender la carga de mantenimiento antes de comprometerse. El certificado tiene una caducidad, y un VMC o CMC vencido retira el logo hasta que se renueva, así que la fecha de renovación pertenece a un calendario con propiedad real, no a la memoria de alguien. Lo mismo vale para los activos: si la URL del SVG o del PEM deja de resolver por HTTPS — una migración de servidor, un cambio de ruta, un certificado TLS caducado en el host — el logo desaparece en silencio sin que te llegue ningún error.
El riesgo continuo más sutil es la deriva de alineación, y ata BIMI de vuelta al resto de tu autenticación. Como todo depende de que DMARC se quede en aplicación con cada remitente legítimo pasando, una nueva herramienta de marketing o vendor añadido sin la configuración adecuada de SPF y DKIM puede reintroducir fallos de alineación, debilitar tus resultados DMARC y, de forma indirecta, tumbar el logo. Por eso la misma monitorización de informes DMARC que te llevó a la aplicación sigue siendo útil después: es el aviso temprano de que un nuevo remitente está a punto de socavar tu autenticación y tu logo.
Nada de esto es oneroso, pero es real, y aboga por tratar BIMI como parte de una práctica de autenticación continua en vez de un despliegue puntual. Los equipos que mantienen su logo a la vista son los que siguieron leyendo sus informes DMARC, mantuvieron estable el alojamiento de sus activos y pusieron la renovación del certificado en algún sitio donde no se olvidaría.
Dónde nos situamos
Seremos honestos sobre el valor, porque el marketing alrededor de BIMI va caliente. Las cifras de interacción que citan los vendors — subidas de apertura del 4 al 10 por ciento, grandes ganancias de recuerdo de marca — vienen de autoridades de certificación y plataformas BIMI promocionando su propio producto, así que conviene tratarlas como orientativas. Así que no venderíamos BIMI como palanca de crecimiento por la fuerza de esos números. El caso defendible es más estrecho y, creemos, más útil: si ya ejecutas DMARC en aplicación y envías volúmenes reales de correo de consumo a Gmail, Yahoo y Apple Mail, un logo verificado es una señal de confianza genuinamente difícil de falsificar, y hace visible la autenticación que ya construiste para quienes reciben tu correo. Eso vale algo — pero es la recompensa por el trabajo previo, no un sustituto de él.
Para un remitente de bajo volumen o de empresa a empresa, el cálculo es distinto: el coste del certificado es real, la vía de la marca para un VMC son meses de esfuerzo, y el beneficio visible es menor porque tus destinatarios no escanean una bandeja de consumo abarrotada. Nuestro consejo es poco vistoso. Lleva DMARC a aplicación por sí mismo primero, porque ahí es donde vive de verdad el valor de seguridad y entregabilidad. Luego, si tu audiencia es de mucho Gmail y de cara al consumo, añade un CMC o VMC como el acabado visible. Alojamos el lado del envío y podemos asegurarnos de que la autenticación bajo BIMI sea correcta; el certificado en sí lo compras a una CA, y preferimos decirte cuándo no lo necesitas.
Preguntas
Respondidas con claridad
Las preguntas que se hacen los equipos antes de comprometerse con un certificado BIMI.
¿Necesito un certificado para BIMI siquiera?
Depende de qué bandejas te importen. Publicar un registro TXT BIMI sin certificado — un registro autodeclarado con la etiqueta a= en blanco — es DNS válido y puede activar Yahoo y Fastmail, sujeto a sus propias comprobaciones de reputación. Pero Gmail y Apple Mail no mostrarán un logo autodeclarado: Gmail exige un VMC o CMC, y a Apple Mail conviene tratarlo como territorio de certificado. Así que para un programa con mucho Gmail o B2C, planifica un certificado; para una prueba temprana solo de Yahoo, lo autodeclarado es un primer paso legítimo.
¿Cuál es la diferencia entre un VMC y un CMC?
Un Verified Mark Certificate está atado a una marca figurativa registrada, validada por una autoridad de certificación acreditada contra registros de propiedad intelectual gubernamentales, y es lo único que desbloquea el tic azul verificado de Gmail. Un Common Mark Certificate, introducido por Google a principios de 2025, no exige marca registrada — acepta prueba de al menos 12 meses de uso público del logo en su lugar — y muestra tu logo en Gmail pero sin el tic. Ambos son certificados X.509 entregados como archivo PEM; la elección práctica se reduce a si tienes una marca registrada y si el tic te importa.
¿Qué exige exactamente el tic azul de Gmail?
Un VMC, en concreto. El tic está reservado para remitentes verificados con un Verified Mark Certificate, que a su vez exige una marca figurativa registrada y DMARC en aplicación. Un CMC mostrará tu logo en Gmail pero no producirá el tic, y un registro autodeclarado no produce ninguno de los dos en Gmail. Si el tic es el objetivo y aún no tienes marca registrada, el propio proceso de registro de marca puede llevar de 6 a 12 meses, así que ese suele ser el cuello de botella del proyecto.
¿Por qué no aparece mi logo BIMI?
La causa más común con diferencia es que DMARC no está de verdad en aplicación — si tu política sigue en p=none, la mayoría de los proveedores no mostrarán el logo por bueno que sea el resto de la configuración. Después, los culpables habituales son un logo que es SVG normal en vez de SVG Tiny PS, o que supera los 32 KB o no es un cuadrado 1:1; una URL de SVG o PEM que no es accesible por HTTPS desde fuera de tu red; un certificado caducado o cuya cadena se ensambló en el orden equivocado; y esperar el tic de un CMC, que nunca produce uno. Recórrelos en orden, porque las comprobaciones posteriores dependen de las anteriores.
¿Qué cuesta BIMI de verdad?
El certificado en sí va de unos 749 a alrededor de 3.000 dólares al año según la autoridad de certificación, con Sectigo en el extremo bajo y DigiCert, Entrust y GlobalSign más arriba. Si vas por la vía del VMC y no tienes ya una marca figurativa registrada, añade el coste del registro de marca — del orden de unos cientos de dólares en la USPTO o unos 850 euros en la EUIPO — más los meses que lleva registrarla. Alojar el SVG y el PEM puede ser gratis. Un CMC evita el coste de la marca pero aún acarrea la cuota anual del certificado.
¿Vale la pena BIMI, con honestidad?
Depende por completo de tu perfil de remitente. Las cifras de interacción que citan los vendors — subidas de tasa de apertura del 4 al 10 por ciento, grandes ganancias de recuerdo de marca — vienen de autoridades de certificación y plataformas BIMI promocionando su propio producto, así que trátalas como orientativas, no como probadas de forma independiente. El caso más defendible es más estrecho: si ya ejecutas DMARC en aplicación y envías grandes volúmenes de correo de consumo a Gmail, Yahoo y Apple Mail, un logo verificado es una señal de confianza difícil de falsificar que refuerza el trabajo de autenticación que ya hiciste. Si eres un remitente de bajo volumen o B2B, el coste del certificado y el esfuerzo de la marca son reales y el beneficio visible es menor.
¿Quieres la autenticación bajo BIMI bien hecha?
Cuéntanos cómo envías. Llevaremos DMARC a aplicación con limpieza y nos aseguraremos de que SPF y DKIM alineen — para que cuando añadas un VMC o CMC, el logo de verdad aparezca.