Infraestrutura de e-mail
BIMI: o logo verificado, e o que de fato custa conquistá-lo.
O BIMI põe o logo da sua marca ao lado do e-mail autenticado em caixas compatíveis — mas é o retorno visível de um trabalho feito antes, não um recurso isolado. O requisito que o condiciona é o DMARC em aplicação (p=quarantine ou p=reject, pct=100), mantido por uns 30 dias. Depois o logo precisa de um arquivo SVG Tiny PS e, para Gmail e Apple Mail, de um certificado: um VMC se você tem uma marca registrada e quer o selo azul, ou um CMC se não tem mas pode provar 12 meses de uso do logo. O selo em si é só de VMC.
Em resumo
- A aplicação do DMARC vem primeiro. Sem p=quarantine ou p=reject, não há logo — em p=none o BIMI simplesmente não ativa.
- O logo deve ser SVG Tiny PS. Não um SVG/PNG/JPEG comum; menos de 32 KB, quadrado 1:1, sem scripts.
- O VMC desbloqueia o selo azul. Precisa de uma marca registrada; um CMC exibe o logo sem o selo.
- O comportamento por provedor difere. O Gmail precisa de um certificado; Yahoo e Fastmail podem exibir um logo autodeclarado; o Apple Mail é território de certificado.
- É um sinal de confiança, não um impulso mágico. Os números de engajamento dos fornecedores são direcionais; o caso honesto é mais estreito.
O que é o BIMI, e por que ele se assenta sobre o DMARC?
O BIMI é um padrão baseado em DNS que permite a um remetente exibir um logo de marca verificado ao lado do e-mail autenticado em caixas compatíveis. O BIMI em si é o conjunto de instruções no DNS; o certificado é o que prova que o logo é de fato seu. Definido como o padrão BIMI (RFC 9495), ele é melhor entendido como a cereja visível sobre uma base invisível: a base é uma autenticação de e-mail sólida, e o logo é a recompensa por tê-la construído. Por isso ele não pode ser comprado como atalho. Um provedor receptor só recorre ao seu logo depois de confirmar que o seu e-mail é de fato seu, o que ele estabelece via DMARC.
O requisito que o condiciona, exposto com clareza pelo Google e por cada autoridade de certificação, é o DMARC em aplicação. A sua política deve ser p=quarantine ou p=reject com pct=100; o BIMI não admite p=none, porque uma política só de monitoramento diz ao provedor que você ainda está observando em vez de rejeitar ativamente o e-mail falsificado. A maioria dos provedores também quer ver uns trinta dias consecutivos em aplicação antes de exibir um logo, então não é um projeto da mesma tarde nem mesmo depois que a política muda.
Essa sequência é a coisa mais importante a interiorizar, porque reenquadra o BIMI por completo. Não é um complemento de marketing que você parafusa no fim; é a confirmação visível de que o trabalho de autenticação pouco vistoso — SPF e DKIM alinhados, DMARC movido à aplicação sem quebrar os remetentes legítimos — está de fato feito. Se você leu os nossos textos sobre mover o DMARC à aplicação e manter o SPF sob o seu limite de consultas, o BIMI é o que esses esforços finalmente tornam possível.
O que vai no DNS, e o que o arquivo do logo deve ser
O BIMI vive num único registro TXT no subdomínio default._bimi. Ele carrega duas tags que
importam: l=, a URL HTTPS do seu logo, e a=, a URL HTTPS do seu PEM de
certificado. Para uma configuração autodeclarada sem certificado, você deixa a= em branco.
# A asserção BIMI — um registro TXT em default._bimi
default._bimi.example.com. TXT "v=BIMI1;
l=https://example.com/bimi/logo.svg;
a=https://example.com/bimi/cert.pem"
# l = o logo SVG Tiny PS · a = o PEM do VMC/CMC (omita a= se for autodeclarado)O logo é onde a maioria das configurações tropeça, porque o BIMI não aceita arquivos de imagem comuns. Ele exige o perfil SVG Tiny Portable/Secure, que despoja deliberadamente scripts e referências externas para que o arquivo não possa carregar nada nocivo, e deve ser um quadrado 1:1 com menos de 32 KB com dimensões em pixels absolutos e um elemento title.
# O logo deve ser SVG Tiny PS — não um SVG comum, PNG nem JPEG
<svg xmlns="http://www.w3.org/2000/svg"
baseProfile="tiny-ps" version="1.2"
width="96" height="96" viewBox="0 0 96 96">
<title>Example Inc</title> # obrigatório
<!-- sem <script>, sem refs externas, < 32 KB, quadrado 1:1 -->
</svg>VMC ou CMC: qual certificado você precisa de fato?
Ambos os certificados fazem o mesmo trabalho central — provar a um provedor que o logo do seu registro BIMI é legitimamente seu — e ambos chegam como arquivo PEM X.509. A diferença é contra o que eles verificam e o que desbloqueiam. Um Verified Mark Certificate está atado a uma marca figurativa registrada, validada por uma CA credenciada contra registros de propriedade intelectual governamentais. Ele desbloqueia o selo azul verificado do Gmail, além da exibição do logo no Gmail, Yahoo e Apple Mail. O pega é a marca: o próprio processo de registro pode levar de 6 a 12 meses se você não tiver uma já.
Um Common Mark Certificate foi introduzido pelo Google no início de 2025 para ampliar a elegibilidade. Ele não exige marca registrada — aceita prova de ao menos 12 meses de uso público do logo em vez disso — e exibe o logo no Gmail mas sem o selo. Em outras palavras, um CMC mete o seu logo no Gmail sem a burocracia e o custo de uma marca registrada, ao preço do selo azul. É a via pragmática para marcas SaaS e de e-commerce sem marca registrada.
A decisão é portanto mais simples do que as páginas dos fornecedores fazem soar. Se você já tem uma marca figurativa registrada e o selo é estrategicamente valioso, obtenha um VMC. Em qualquer outro caso — sem marca registrada, ou o selo não vale um ano de trabalho de marca — um CMC é a escolha pragmática: mais barato, mais rápido e suficiente para exibir o logo no Gmail. Ambos ainda exigem a mesma aplicação de DMARC e o mesmo logo SVG Tiny PS por baixo.
Suporte por provedor
Quem mostra o quê?
O BIMI não é uma experiência uniforme; cada provedor decide o que exibe e com qual evidência.
| Provedor | Comportamento |
|---|---|
| Gmail | Exige um VMC ou CMC para mostrar o logo; o selo azul verificado é reservado só para VMC. |
| Apple Mail | Território de certificado — planeje um VMC; não conte com a exibição autodeclarada. (O Branded Mail à parte da Apple, via Business Connect, é outro canal.) |
| Yahoo / Fastmail | Podem mostrar um logo autodeclarado sem certificado, embora as próprias verificações de reputação e autenticação ainda o condicionem. Útil para um primeiro teste de baixo risco. |
A implicação prática é partir da sua mistura de destinatários, não do certificado. Uma marca de consumo com muito tráfego de Gmail e Apple Mail deveria planejar um certificado desde o início, porque a exibição autodeclarada não chegará às caixas que importam para ela. Um remetente cuja audiência inicial é sobretudo Yahoo ou Fastmail pode publicar primeiro um registro autodeclarado como teste de baixo risco, e adicionar um certificado quando o alcance no Gmail valer a pena.
Configuração
Da aplicação ao logo, passo a passo
Seis passos em ordem de dependência. O primeiro é o que mais projetos subestimam.
- 1
Leve o DMARC à aplicação primeiro
O BIMI não faz nada em p=none. Mova a sua política DMARC para p=quarantine ou p=reject com pct=100, confirme que cada remetente legítimo segue passando, e planeje ficar em aplicação uns 30 dias consecutivos, que é aproximadamente o que os provedores querem ver antes de mostrar um logo.
- 2
Decida VMC ou CMC
Se você tem uma marca figurativa registrada e o selo azul do Gmail importa para você, escolha um VMC. Se não tem marca registrada mas pode mostrar ao menos 12 meses de uso público do logo, um CMC exibe o logo no Gmail sem o selo — é a via pragmática para a maioria das marcas sem marca registrada.
- 3
Produza um logo SVG Tiny PS
Converta o seu logo para o perfil SVG Tiny Portable/Secure, não um SVG comum. Ele deve ser um quadrado 1:1, com menos de 32 KB, centralizado, com dimensões em pixels absolutos e um elemento title, e não deve conter scripts nem referências externas, que os provedores rejeitam por segurança.
- 4
Obtenha o certificado e monte o PEM
Solicite a uma CA aprovada pelo BIMI com o seu SVG. Quando o VMC ou CMC for emitido você recebe um certificado de entidade; anexe os certificados de CA intermediária e raiz na ordem emitida para construir o arquivo PEM ao qual o registro BIMI vai apontar.
- 5
Hospede os ativos e publique o registro BIMI
Sirva o SVG e o PEM por HTTPS onde sejam acessíveis externamente, depois publique um registro TXT em default._bimi com a tag l= apontando ao SVG e a tag a= apontando ao PEM. Para um teste autodeclarado, deixe a= em branco.
- 6
Teste, depois monitore
Confirme a resolução DNS, verifique que as URLs do SVG e do PEM carregam externamente, envie e-mail de teste ao Gmail, Apple Mail e Yahoo, e dê alguns dias para o logo aparecer. Continue lendo os seus relatórios DMARC depois, porque um novo remetente desalinhado pode quebrar em silêncio o alinhamento do qual o BIMI depende.
Toda a sequência é condicionada pelo primeiro passo, por isso os times que já rodam DMARC em aplicação podem chegar a um logo em dias enquanto os que partem de p=none olham para semanas — a maioria gasta observando relatórios para garantir que a mudança de política não deixa um remetente legítimo encalhado.
Quando não aparece
A cadeia que um provedor verifica antes de mostrar o seu logo
Cada elo deve passar antes de o próximo ser sequer avaliado — por isso a ordem da depuração importa.
Quando um logo não aparece, depure nesta ordem, porque nunca se chega a um elo posterior se um anterior falha. A primeira causa, esmagadora, é o DMARC não estar de fato em aplicação; depois, um logo que não é verdadeiro SVG Tiny PS, uma URL de ativo inacessível de fora, uma cadeia de certificado expirada ou na ordem errada e — um calado — esperar um selo de um CMC, que nunca o produz.
O BIMI como sinal anti-falsificação, não só decoração
É fácil arquivar o BIMI sob marca, mas a sua justificativa mais durável é defensiva. O phishing e a falsificação de marca são uma constante, e um destinatário que escaneia uma caixa lotada tem muito pouco com o que decidir se uma mensagem é de fato de uma empresa em que confia. Um logo verificado, respaldado por um certificado que uma autoridade de certificação checou contra registros de marca ou de uso, é um sinal genuinamente difícil de reproduzir para um falsificador, porque o falsificador não pode passar o alinhamento de DMARC nem a validação de certificado que ficam por trás.
Isso reenquadra para quem o BIMI é. As marcas que mais se beneficiam são justo as mais falsificadas: bancos, varejistas, grandes serviços de consumo — remetentes cujo nome vale a pena falsificar. Para eles, o logo não é vaidade; é uma forma de tornar a mensagem autêntica visivelmente distinta da falsa, no único lugar em que o destinatário de fato olha. O sinal de confiança e o controle de segurança são a mesma coisa vista de dois ângulos, o que é parte de por que os provedores atam o logo tão estreitamente à aplicação.
Também significa que o valor é assimétrico entre tipos de remetente, e vale ser honesto a respeito. Um remetente de empresa para empresa cujo e-mail aterrissa sobretudo em caixas corporativas, ou um remetente interno de baixo volume, tira muito menos de um logo verificado do que uma marca de consumo de alto volume, porque o contexto do destinatário é diferente e o risco de falsificação é menor. A tecnologia é a mesma; o retorno sobre o custo do certificado não.
O que mantém o BIMI funcionando após entrar no ar
O BIMI não é um registro de configurar e esquecer, e vale entender a carga de manutenção antes de se comprometer. O certificado tem uma expiração, e um VMC ou CMC vencido retira o logo até ser renovado, então a data de renovação pertence a um calendário com dono real, não à memória de alguém. O mesmo vale para os ativos: se a URL do SVG ou do PEM deixa de resolver por HTTPS — uma migração de servidor, uma mudança de caminho, um certificado TLS expirado no host — o logo desaparece em silêncio sem que nenhum erro chegue a você.
O risco contínuo mais sutil é a deriva de alinhamento, e ata o BIMI de volta ao resto da sua autenticação. Como tudo depende de o DMARC ficar em aplicação com cada remetente legítimo passando, uma nova ferramenta de marketing ou fornecedor adicionado sem a configuração adequada de SPF e DKIM pode reintroduzir falhas de alinhamento, enfraquecer os seus resultados DMARC e, de forma indireta, derrubar o logo. Por isso o mesmo monitoramento de relatórios DMARC que o levou à aplicação segue útil depois: é o aviso antecipado de que um novo remetente está prestes a minar a sua autenticação e o seu logo.
Nada disso é oneroso, mas é real, e defende tratar o BIMI como parte de uma prática de autenticação contínua em vez de uma implantação pontual. Os times que mantêm o seu logo à vista são os que continuaram lendo os seus relatórios DMARC, mantiveram estável a hospedagem dos seus ativos e puseram a renovação do certificado em algum lugar onde não seria esquecida.
Onde nós estamos
Seremos honestos sobre o valor, porque o marketing em torno do BIMI corre quente. Os números de engajamento que os fornecedores citam — altas de abertura de 4 a 10 por cento, grandes ganhos de lembrança de marca — vêm de autoridades de certificação e plataformas BIMI promovendo o próprio produto, então convém tratá-los como direcionais. Então não venderíamos o BIMI como alavanca de crescimento pela força desses números. O caso defensável é mais estreito e, achamos, mais útil: se você já roda DMARC em aplicação e envia volumes reais de e-mail de consumo ao Gmail, Yahoo e Apple Mail, um logo verificado é um sinal de confiança genuinamente difícil de falsificar, e torna visível a autenticação que você já construiu para quem recebe o seu e-mail. Isso vale algo — mas é a recompensa pelo trabalho anterior, não um substituto dele.
Para um remetente de baixo volume ou de empresa para empresa, o cálculo é diferente: o custo do certificado é real, a via da marca para um VMC são meses de esforço, e o retorno visível é menor porque os seus destinatários não escaneiam uma caixa de consumo lotada. O nosso conselho é pouco vistoso. Leve o DMARC à aplicação por si só primeiro, porque é ali que vive de fato o valor de segurança e entregabilidade. Depois, se a sua audiência é de muito Gmail e voltada ao consumo, adicione um CMC ou VMC como o acabamento visível. Hospedamos o lado do envio e podemos garantir que a autenticação sob o BIMI esteja correta; o certificado em si você compra de uma CA, e preferimos dizer quando você não precisa de um.
Perguntas
Respondidas com clareza
As perguntas que os times fazem antes de se comprometer com um certificado BIMI.
Eu preciso de um certificado para o BIMI?
Depende de quais caixas importam para você. Publicar um registro TXT BIMI sem certificado — um registro autodeclarado com a tag a= em branco — é DNS válido e pode ativar Yahoo e Fastmail, sujeito às próprias verificações de reputação deles. Mas o Gmail e o Apple Mail não exibirão um logo autodeclarado: o Gmail exige um VMC ou CMC, e o Apple Mail convém tratar como território de certificado. Então para um programa com muito Gmail ou B2C, planeje um certificado; para um teste inicial só de Yahoo, o autodeclarado é um primeiro passo legítimo.
Qual a diferença entre um VMC e um CMC?
Um Verified Mark Certificate está atado a uma marca figurativa registrada, validada por uma autoridade de certificação credenciada contra registros de propriedade intelectual governamentais, e é a única coisa que desbloqueia o selo azul verificado do Gmail. Um Common Mark Certificate, introduzido pelo Google no início de 2025, não exige marca registrada — aceita prova de ao menos 12 meses de uso público do logo em vez disso — e exibe o seu logo no Gmail mas sem o selo. Ambos são certificados X.509 entregues como arquivo PEM; a escolha prática se reduz a se você tem uma marca registrada e se o selo importa para você.
O que exatamente o selo azul do Gmail exige?
Um VMC, especificamente. O selo é reservado para remetentes verificados com um Verified Mark Certificate, que por sua vez exige uma marca figurativa registrada e DMARC em aplicação. Um CMC exibirá o seu logo no Gmail mas não produzirá o selo, e um registro autodeclarado não produz nenhum dos dois no Gmail. Se o selo é o objetivo e você ainda não tem marca registrada, o próprio processo de registro de marca pode levar de 6 a 12 meses, então esse costuma ser o gargalo do projeto.
Por que o meu logo BIMI não aparece?
A causa mais comum de longe é que o DMARC não está de fato em aplicação — se a sua política segue em p=none, a maioria dos provedores não mostrará o logo por melhor que seja o resto da configuração. Depois, os culpados habituais são um logo que é SVG comum em vez de SVG Tiny PS, ou que ultrapassa os 32 KB ou não é um quadrado 1:1; uma URL de SVG ou PEM inacessível por HTTPS de fora da sua rede; um certificado expirado ou cuja cadeia foi montada na ordem errada; e esperar o selo de um CMC, que nunca produz um. Percorra-os em ordem, porque as verificações posteriores dependem das anteriores.
Quanto custa o BIMI de fato?
O certificado em si vai de uns 749 a cerca de 3.000 dólares por ano conforme a autoridade de certificação, com a Sectigo no extremo baixo e DigiCert, Entrust e GlobalSign mais acima. Se você vai pela via do VMC e não tem já uma marca figurativa registrada, some o custo do registro de marca — da ordem de algumas centenas de dólares na USPTO ou cerca de 850 euros na EUIPO — mais os meses que leva para registrar. Hospedar o SVG e o PEM pode ser grátis. Um CMC evita o custo da marca mas ainda carrega a taxa anual do certificado.
O BIMI vale a pena, com honestidade?
Depende inteiramente do seu perfil de remetente. Os números de engajamento que os fornecedores citam — altas de taxa de abertura na faixa de 4 a 10 por cento, grandes ganhos de lembrança de marca — vêm de autoridades de certificação e plataformas BIMI promovendo o próprio produto, então trate-os como direcionais, não como provados de forma independente. O caso mais defensável é mais estreito: se você já roda DMARC em aplicação e envia grandes volumes de e-mail de consumo ao Gmail, Yahoo e Apple Mail, um logo verificado é um sinal de confiança difícil de falsificar que reforça o trabalho de autenticação que você já fez. Se você é um remetente de baixo volume ou B2B, o custo do certificado e o esforço da marca são reais e o retorno visível é menor.
Quer a autenticação sob o BIMI bem feita?
Conte como você envia. Levaremos o DMARC à aplicação com limpeza e garantiremos que SPF e DKIM alinhem — para que quando você adicionar um VMC ou CMC, o logo de fato apareça.