BIMI: mostrar el logotipo verificado de una marca en Gmail y más allá

Cómo funciona BIMI técnicamente

Una vez que el dominio aplica la política, la mecánica de BIMI se apoya en tres piezas:

1. Un registro DNS de tipo TXT, publicado en default._bimi.<dominio>, con la forma: v=BIMI1; l=https://ejemplo.es/logo.svg; a=https://ejemplo.es/vmc.pem La etiqueta l= apunta al logotipo; la etiqueta a= (opcional en el estándar, pero exigida por los grandes proveedores) apunta al certificado.
2. El logotipo en sí, alojado en HTTPS, en un formato muy preciso (ver más abajo).
3. Un certificado de marca (VMC), que vincula criptográficamente ese logotipo con la identidad de la organización. Es el objeto de un artículo aparte: el certificado VMC para BIMI.

Cuando un proveedor compatible recibe un correo que supera DMARC en aplicación, lee el registro BIMI del dominio, verifica el certificado, recupera el logotipo y lo muestra. Todo se apoya en la cadena de autenticación: sin alineación, sin aplicación, sin logotipo.

El logotipo: un formato exigente

No se puede proporcionar cualquier archivo. BIMI impone el SVG Tiny Portable/Secure (SVG Tiny PS) —un perfil restringido del formato SVG, sin scripts ni elementos externos, pensado para ser seguro y renderizarse de forma idéntica en todas partes. Además, el logotipo debe ser cuadrado (se muestra en un círculo o un cuadrado según el cliente), preferiblemente con un fondo sólido en vez de transparente, y centrado para seguir siendo legible a tamaño muy reducido.

En la práctica, muchas organizaciones descubren que su logotipo vectorial existente no cumple los requisitos y debe ser retrabajado por un diseñador gráfico o convertido con una herramienta específica. No es un bloqueo, pero es un paso que conviene anticipar: un SVG mal perfilado será rechazado por los proveedores, y el logotipo no se mostrará, aunque el registro sea por lo demás correcto.

Dónde se muestra el logotipo

La compatibilidad con BIMI se ha ampliado en los últimos años. Los principales buzones que muestran los logotipos BIMI incluyen Gmail, Apple Mail (a partir de las versiones recientes de iOS y macOS), Yahoo Mail, así como varios actores como Fastmail o La Poste. La cobertura evoluciona, pero ya alcanza a una parte mayoritaria de los destinatarios del gran público.

Ojo, no obstante: la mayoría de estos proveedores —Gmail el primero— exigen un certificado (un VMC) para mostrar el logotipo. Algunos buzones más modestos aceptan un registro sin certificado, pero las bandejas que de verdad cuentan quieren la prueba de que el logotipo pertenece a quien lo publica. La pregunta «¿se puede hacer BIMI sin certificado?» merece su propio tratamiento: BIMI sin VMC, ¿es posible?.

Por qué merece la pena

Más allá de la estética, el logotipo verificado tiene efectos concretos. Refuerza el reconocimiento de marca en el momento decisivo de la apertura, añade una señal de confianza que puede apoyar las tasas de apertura, y crea una diferencia visible con los suplantadores: un correo fraudulento sin logotipo, junto a los legítimos que sí lo llevan, parece de inmediato menos creíble. Para los sectores más suplantados, este último punto es estratégico —es el razonamiento desarrollado para las marcas financieras en DMARC para bancos, trasladable a cualquier marca de gran público.

Hay también un argumento de gobernanza: apuntar a BIMI desde el diseño mismo de un programa DMARC ayuda a justificar el trabajo de aplicación ante las partes interesadas que valoran la marca tanto como la seguridad. El logotipo no es el objetivo, pero hace que el objetivo resulte deseable.

La secuencia completa

Para llegar al logotipo, el orden es inamovible:

1. Alinear todas las fuentes de envío en SPF y DKIM.
2. Subir la política DMARC hasta p=reject (o al menos quarantine), vigilando los informes.
3. Preparar el logotipo en formato SVG Tiny PS, cuadrado, alojado en HTTPS.
4. Obtener un VMC cuando el objetivo incluye Gmail y los grandes buzones —ver el certificado VMC.
5. Publicar el registro default._bimi con l= y a=.

Nada de esto funciona sin el paso 2: es la aplicación de DMARC la que desbloquea el resto, y es también la base que se recuerda en qué es DMARC.

Los errores que impiden que se muestre el logotipo

Un registro BIMI publicado no garantiza un logotipo visible. Las causas más frecuentes de un logotipo ausente:

• El dominio no está en aplicación. De lejos la primera causa: p=none prohíbe cualquier logotipo. Conviene comprobar que la política sea efectivamente quarantine o reject.
• La trampa del subdominio. Cuando el envío procede de un subdominio, su política efectiva también debe estar en aplicación: un sp=none puede anular la aplicación justo donde de verdad se emite.
• El SVG no cumple los requisitos. Un logotipo que no esté en SVG Tiny PS, que no sea cuadrado, o que contenga elementos prohibidos (script, imagen externa, texto no vectorizado) será rechazado en silencio.
• Falta el certificado. La mayoría de los grandes buzones, Gmail el primero, no mostrarán nada sin un VMC válido referenciado por a=.
• La propagación DNS. Un registro recién publicado tarda en propagarse; el logotipo no aparece al instante.
• La caché del cliente. Algunos clientes cachean el logotipo: un cambio puede tardar en reflejarse del lado del destinatario.

Diagnosticar estos puntos uno a uno, en este orden, resuelve la práctica totalidad de los casos de «he publicado BIMI pero no veo nada».

BIMI y la entregabilidad: qué esperar de ello

Conviene deshacer una confusión: BIMI no es, en sí mismo, una palanca de entregabilidad. No hace que los correos lleguen a la bandeja de entrada —eso lo hacen la autenticación y la reputación. Lo que BIMI aporta es una señal de confianza visible una vez que el mensaje ha llegado: reconocimiento de marca, distinción frente al fraude, y un posible efecto, indirecto, sobre la interacción de los destinatarios que reconocen el logotipo. Presentarlo como un potenciador de entregabilidad sería sobrevenderlo; presentarlo como la capa de confianza que corona un dominio ya bien configurado es exacto. Es una culminación, no un atajo.

Medir la preparación del dominio

La primera pregunta que hay que plantearse no es «¿qué logotipo?» sino «¿el dominio ya está en aplicación?». Un paso por nuestro analizador DMARC gratuito da un veredicto inmediato: en p=none, BIMI queda fuera de alcance mientras no se haya hecho el trabajo de aplicación. El Observatorio DMARC permite además comparar la postura de todo un sector y situar una marca en él.

Llevar un dominio a p=reject y luego planificar BIMI es exactamente el recorrido que Thomas, el CISO virtual, está diseñado para acompañar: identifica cada fuente de envío, genera el DNS a publicar, evalúa la preparación dominio por dominio e indica cuándo la aplicación puede activarse sin riesgo —el paso que desbloquea el logotipo. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.