BIMI sin VMC: ¿es posible (y es buena idea)?

Lo que se muestra realmente sin certificado

En la práctica, un registro BIMI sin certificado da un resultado muy desigual: algunos buzones más modestos, históricamente más permisivos, pueden mostrar el logotipo a partir del solo l=; pero las bandejas mayoritarias no lo harán. Dicho de otro modo, se invierte en la preparación (aplicación de DMARC, logotipo conforme, alojamiento) sin tocar el grueso del beneficio —la visibilidad en Gmail y los grandes buzones.

Esa cobertura evoluciona y depende de las políticas de cada proveedor, pero la regla de fondo es estable: cuanto más grande y expuesto al fraude es un buzón, más exige una prueba. Es lógico, y no hay que esperar que eso se relaje.

El CMC: el certificado para los logotipos sin marca registrada

Entre «nada» y «VMC» existe un intermedio: el CMC (Common Mark Certificate). Se dirige precisamente a las organizaciones que no pueden obtener un VMC porque no tienen una marca registrada —logotipos de entidades públicas, marcas de uso antiguas, estructuras que nunca registraron.

El CMC acredita el uso y la identidad sin apoyarse en un registro de marca, lo que lo hace accesible a organizaciones excluidas del VMC. A cambio, no lo aceptan todos los proveedores: a día de hoy, Apple Mail lo reconoce, pero Gmail se apoya en el VMC. El CMC es, por tanto, una verdadera opción cuando la prioridad es el ecosistema Apple o cuando un VMC resulta estructuralmente inaccesible —pero no desbloquea Gmail. La elección entre ambos se hace según los buzones apuntados, un arbitraje abordado también en el artículo certificado VMC.

Cuándo publicar sin VMC tiene sentido

Renunciar (temporalmente) al certificado no es absurdo en varios casos:

• En preparación: publicar el l= solo mientras la solicitud de marca o de certificado sigue su curso permite validar la cadena técnica (DNS, formato del logotipo) sin esperar.
• Sin marca registrable: cuando un VMC queda fuera de alcance y el objetivo no es Gmail, un l= solo o un CMC puede bastar para mostrar el logotipo allí donde sea posible.
• Para probar: comprobar que el logotipo se muestra correctamente en los buzones permisivos antes de asumir los gastos del certificado.

En todos estos casos, lo esencial es no engañarse sobre el resultado: sin VMC, el logotipo seguirá siendo invisible para la mayoría de los destinatarios de Gmail.

El verdadero requisito sigue siendo DMARC

Un recordatorio que vale para todas estas variantes: no se muestra nada, con VMC o sin él, mientras el dominio no aplique DMARC. La cuestión del certificado solo se plantea después de haber alcanzado p=quarantine o p=reject. Un dominio en p=none no mostrará ningún logotipo, con o sin certificado —la base se recuerda en alcanzar p=reject sin romper los envíos y mostrar el logotipo BIMI.

Panorama de las exigencias por proveedor

Para decidir si hace falta un certificado, hay que saber qué exige cada buzón —siendo la regla general «cuanto más grande es el buzón, más pruebas pide»:

• Gmail: exige un VMC. Sin él, no hay logotipo, y punto. Es el buzón que, por sí solo, justifica casi siempre la inversión.
• Apple Mail (versiones recientes): acepta el VMC o el CMC. Es la principal puerta de entrada para las organizaciones sin marca registrada.
• Yahoo Mail: exige un certificado (VMC).
• Buzones más modestos: algunos muestran el logotipo a partir del solo l=, sin certificado —pero su peso en una base del gran público es marginal.

La consecuencia práctica: apuntar a Gmail impone un VMC; apuntar solo a Apple abre la vía al CMC; conformarse con los buzones permisivos reduce enormemente el alcance.

VMC o CMC: cómo decidir

La elección se resume en dos preguntas. ¿Existe una marca registrada? Si es así, el VMC es la vía completa, que cubre Gmail y los demás. Si no, queda fuera de alcance sin registrar primero una marca (varios meses). ¿Qué buzones se apuntan? Cuando Gmail resulta ineludible para la audiencia, no hay alternativa al VMC. Cuando esa audiencia está mayoritariamente en Apple, o cuando basta con un logotipo «allí donde sea posible» sin el coste y el plazo de un registro de marca, el CMC se convierte en una opción seria. Muchas organizaciones acaban apuntando al VMC a largo plazo, aunque empiecen de forma más modesta —pero hay que hacerlo con los ojos abiertos sobre lo que cada nivel desbloquea.

«Publicado» no es «mostrado»

El error de razonamiento más común en torno a BIMI: creer que publicar un registro basta. Publicar un registro BIMI es trivial; conseguir que el logotipo se muestre es el verdadero trabajo, y depende por entero del cumplimiento (aplicación de DMARC, logotipo en el formato correcto, certificado aceptado por el buzón apuntado). Un registro publicado sin certificado, para una audiencia de Gmail, es un registro que no produce ningún logotipo visible —técnicamente válido, prácticamente inerte. Medir el éxito de BIMI es mirar lo que ven realmente los destinatarios, no lo que contiene la zona DNS.

El coste oculto de no hacer nada

Hay un punto que se olvida al sopesar el coste de un VMC: la ausencia de logotipo no es neutra. Allí donde los competidores muestran el suyo, una insignia gris o una inicial genérica parece, por contraste, menos establecida —y sobre todo, no ofrece ninguna protección visual contra la suplantación de identidad (spoofing). Un correo fraudulento emitido en nombre de una marca, en un buzón donde esa marca no tiene logotipo, no desentona; en un buzón donde el logotipo está habitualmente presente, su ausencia se convierte en una señal de alerta para el destinatario atento. Renunciar al certificado es, por tanto, renunciar a la vez a un activo de marca y a un indicio antifraude. No es forzosamente la mala elección —para una pequeña estructura sin marca registrada, el cálculo puede inclinarse hacia la espera— pero hay que plantearlo con lucidez, coste contra beneficio, y no por defecto.

La tendencia no juega a favor del inmovilismo

¿Hay que esperar a que los proveedores relajen sus exigencias? Nada lo indica. La dirección del ecosistema va hacia más pruebas, no menos: la autenticación del dominio se ha convertido en un requisito de envío en volumen, y la verificación del logotipo sigue la misma lógica antifraude. Apostar por un Gmail que algún día aceptaría el l= solo sería imprudente. Cuando el logotipo verificado forma parte de los objetivos, más vale emprender el camino —marca, aplicación, certificado— que esperar una flexibilidad que no tiene razón alguna para llegar.

Recomendación

Para una marca de gran público ya registrada, el objetivo es el VMC: es el único camino hacia Gmail, y el beneficio justifica el coste, sobre todo para los sectores suplantados como las finanzas. A falta de marca registrada, el CMC merece una evaluación para el ecosistema Apple, o un l= solo mientras tanto —teniendo en cuenta que el grueso de la audiencia de Gmail seguirá fuera de alcance sin VMC.

Y antes que nada, la base: un paso por nuestro análisis DMARC gratuito confirma si el dominio está realmente en aplicación, y el Observatorio DMARC sitúa esa postura frente a la del sector. Llevar un dominio a p=reject —el paso que condiciona todo lo demás— es precisamente lo que Thomas, el CISO virtual, asume. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.