Certificado VMC para BIMI: precio, requisitos y cómo obtenerlo

El requisito duro: una marca registrada

Es el obstáculo que más sorprende a las organizaciones: un VMC exige una marca registrada. No un logotipo en uso desde hace años, no una identidad gráfica: una marca figurativa (o el propio logotipo) registrada oficialmente ante una oficina competente —la OEPM en España, la EUIPO para la Unión Europea, la USPTO en Estados Unidos, según el ámbito.

Con una marca ya registrada, la pieza maestra está en su sitio. Si no lo está, hay que registrarla primero, un trámite que tiene su propio coste y sobre todo su propio plazo: varios meses entre la solicitud y el registro definitivo, periodo durante el cual el VMC no se puede expedir. Es el factor más subestimado en un proyecto BIMI: el certificado en sí se obtiene en unos días, pero la marca que lo condiciona puede tardar meses.

El coste real

Hay que distinguir dos partidas:

• El certificado VMC: cuesta, según la autoridad, del orden de 1000 a 1500 € al año (renovable). Es una suscripción, no una compra única.
• El registro de marca, a falta de una existente: unas tasas de oficina variables según el número de clases y el territorio, más eventualmente honorarios de asesoría en propiedad industrial. A presupuestar por separado, y con antelación.

En relación con el beneficio —una señal de marca mostrada en una parte mayoritaria de los buzones de gran consumo— este coste es modesto para una marca financiera, un comercio electrónico consolidado o un gran emisor. Lo es menos para una pequeña estructura sin marca registrada, para la que la alternativa sin certificado merece sopesarse: BIMI sin VMC, ¿es posible?.

El procedimiento de obtención

Una vez la marca registrada y el dominio en aplicación de la política DMARC, la obtención del VMC sigue etapas bien delimitadas:

1. Preparar el logotipo conforme en formato SVG Tiny PS, cuadrado, correspondiente exactamente a la marca registrada (el logotipo del certificado debe coincidir con la marca registrada).
2. Elegir una autoridad habilitada (DigiCert, Entrust) y presentar la solicitud, aportando las pruebas del registro de marca.
3. Pasar la validación: la autoridad verifica los derechos sobre la marca y la identidad de la organización. Es una verificación seria, comparable a la de un certificado de validación extendida.
4. Recibir el certificado (fichero PEM) y alojarlo en HTTPS.
5. Publicar el registro default._bimi con la etiqueta a= apuntando al VMC, junto al l= apuntando al logotipo.

La mecánica completa del registro y del formato de logotipo está detallada en el artículo pilar, mostrar un logotipo BIMI en Gmail.

¿VMC o CMC?

Una palabra sobre una alternativa cada vez más visible: el CMC (Common Mark Certificate). Allí donde el VMC exige una marca registrada, el CMC se dirige a los logotipos que no pueden obtener una —marcas no registradas, logotipos de entidades públicas, marcas demasiado antiguas para el registro clásico. El CMC suele ser menos costoso, pero no se acepta en todas partes: en particular, Gmail se apoya en el VMC, mientras que Apple Mail acepta el CMC. La elección depende, pues, de los buzones a los que se apunta. Este compromiso se desarrolla en mostrar el logotipo sin certificado.

¿Merece la pena?

¿Para quién es el VMC una buena inversión? Típicamente, las organizaciones para las que la marca es el activo: bancos y aseguradoras, comercios electrónicos, grandes marcas de gran consumo, servicios muy suplantados. Para ellas, el logotipo verificado protege el reconocimiento de marca y ensancha la brecha con el fraude, la prolongación natural del razonamiento expuesto en el dossier de las marcas financieras.

Pero el orden importa: el VMC no sirve de nada mientras el dominio no esté en aplicación de la política. Antes de presupuestar un certificado, hay que haber franqueado la etapa que lo desbloquea todo, descrita en la ruta completa.

Cuánto tiempo lleva, de verdad

El calendario de un proyecto VMC está dominado por un factor a menudo ignorado: la marca. Desglosado:

• El registro de marca (a falta de una existente): varios meses entre la solicitud y el registro definitivo, según la oficina y eventuales oposiciones. Es la partida más larga, con diferencia.
• La aplicación de DMARC: de unas semanas a unos meses para llevar limpiamente el dominio de p=none a p=reject, según el tamaño del parque de envío.
• El certificado en sí: una vez la marca y el dominio listos, la emisión del VMC se cuenta en días a unas semanas, el tiempo de la validación por la autoridad.

La trampa clásica es tratar el VMC como una casilla que marcar de última hora, y luego descubrir que primero hay que registrar una marca, y esperar. Si el logotipo verificado es un objetivo, el registro de marca se inicia pronto, en paralelo al trabajo DMARC, no después.

El logotipo debe corresponder a la marca registrada

Un punto que bloquea con regularidad las solicitudes: el logotipo publicado vía BIMI debe corresponder a la marca tal como está registrada. No cabe registrar un logotipo y luego publicar una variante sensiblemente distinta; la autoridad verifica la correspondencia. En la práctica, esto obliga a alinear de antemano tres elementos: la marca figurativa registrada, el fichero SVG Tiny PS preparado, y el uso real del logotipo. Una divergencia —colores, proporciones, elementos añadidos— puede hacer fracasar la validación o retrasar la emisión. Es mejor fijar el logotipo antes del registro de marca, para que los tres coincidan.

Renovación y ciclo de vida

El VMC no es una compra definitiva: es un certificado de duración limitada, que hay que renovar periódicamente (típicamente cada año). Al vencimiento, si la renovación no se ha hecho, los proveedores dejan de mostrar el logotipo, exactamente como un certificado TLS caducado rompe el candado de un sitio. El VMC merece, pues, el trato de un activo que mantener, con una alerta de renovación, al mismo título que los demás certificados de la casa. Un logotipo que desaparece de la noche a la mañana es casi siempre un VMC olvidado.

Quién puede expedir un VMC

El número de autoridades habilitadas es deliberadamente restringido —a día de hoy, esencialmente DigiCert y Entrust. No es un mercado abierto como el de los certificados TLS: la verificación de los derechos de marca exige una autoridad acreditada por el ecosistema BIMI. La elección entre estos emisores se hace según sus tarifas, su proceso de validación y su zona geográfica; el certificado obtenido es después reconocido por todos los proveedores que exigen un VMC.

La validación llevada a cabo por estas autoridades no tiene nada de formalidad: verifica la existencia legal de la organización, sus derechos sobre la marca y la correspondencia del logotipo, en un proceso próximo al de un certificado de validación extendida. Es largo y exigente a propósito: es precisamente ese rigor lo que da su valor al logotipo mostrado; un VMC fácil de obtener no valdría nada como señal de confianza. Para la organización, esto significa prever un interlocutor capaz de aportar rápidamente los justificantes solicitados (documentos de empresa, pruebas del registro de marca): los idas y venidas administrativos son la principal fuente de retraso en esta fase.

La base DMARC va primero

Es inútil incurrir en gastos de certificado con un dominio que no está listo. Un paso por nuestro analizador DMARC gratuito lo aclara: si no está en p=quarantine o p=reject, no se mostrará ningún logotipo, con VMC o sin él. El Observatorio DMARC permite además situar la marca.

Llevar un dominio a la aplicación de la política y después preparar el terreno para BIMI y el VMC es precisamente lo que Thomas, el CISO virtual, orquesta: conduce hasta p=reject sin romper el correo legítimo, la etapa sin la cual el certificado sería papel mojado. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.