¿Qué es BIMI (logo verificado en la bandeja de entrada)?
El BIMI es el estándar que hace que el logotipo oficial de una empresa aparezca junto a sus mensajes en la bandeja de entrada del destinatario. No agrega una capa de seguridad nueva: es la recompensa visible de quien ya hizo el resto, porque solo se muestra en dominios que mantienen el DMARC en política de bloqueo. Es el único de los controles de autenticación de correo que el cliente final ve, y por eso el que más ayuda a justificar el trabajo de los otros tres.
Cómo funciona el BIMI
El BIMI, sigla de Brand Indicators for Message Identification, es el último eslabón de una cadena: solo se evalúa después de que el mensaje pasó por toda la autenticación y de que la política del dominio demostró estar vigente. Sin eso, el logotipo sencillamente no aparece.
Lleva el DMARC a bloqueo, con cobertura total
El estándar exige que la política esté en cuarentena o rechazo, aplicada a todos los mensajes. Un dominio en observación, o con aplicación parcial, no pasa de esta etapa.
Prepara el logotipo en el formato exigido
El logo debe estar en SVG Tiny PS, un perfil restringido de imagen vectorial creado específicamente para este uso: fondo sólido, cuadrado, sin elementos externos. Es una conversión simple, pero con reglas estrictas.
Obtiene el certificado que acredita el derecho a la marca
Una autoridad certificadora verifica que la empresa realmente tiene derecho a ese logotipo y emite un certificado. El más aceptado exige marca registrada; existe una alternativa para logotipos sin registro, con menor soporte.
Publica el registro y los proveedores lo muestran
Un registro de texto en el DNS apunta al archivo del logotipo y al certificado. A partir de ahí, cada proveedor decide, con sus propios criterios, cuándo mostrar la imagen.
Fuente: guía de implementación del BIMI Group, la entidad que mantiene el estándar, que define la exigencia de DMARC en aplicación con cobertura integral, el perfil de imagen aceptado y la diferencia entre los tipos de certificado.
Lo que el logotipo no compra
- No es una capa de protección. El BIMI no bloquea, no filtra y no impide ningún mensaje. Es consecuencia de una protección que ya existe, y un dominio sin DMARC en bloqueo no gana nada publicando el registro.
- No garantiza la exhibición. Cada proveedor aplica criterios propios, que incluyen la reputación de envío, y ninguno se compromete a mostrar siempre el logotipo. Publicar es condición necesaria, no suficiente.
- La versión sin certificado tiene alcance limitado. Es posible declarar el logotipo sin pasar por una autoridad certificadora, pero el soporte a esa forma es bastante menor entre los proveedores.
- La exigencia de marca registrada es una barrera real. El certificado más aceptado se apoya en una marca registrada, lo que implica costo y plazo de registro. Conviene revisar la situación de la marca antes de prometerle a la dirección el logotipo en la bandeja.
Los tres caminos hacia el logotipo
- Certificado sobre marca registrada (VMC) El camino de mayor aceptación. La autoridad certificadora valida el registro de la marca y emite el certificado que acompaña al logotipo. Exige que la marca esté efectivamente registrada.
- Certificado sin marca registrada (CMC) Una alternativa creada para quien tiene un logotipo consolidado pero no lo registró como marca. La validación es distinta y la aceptación entre proveedores es menor.
- Declaración sin certificado (BIMI autodeclarado) Publicar el registro apuntando solo al archivo del logotipo, sin ninguna validación externa. Es el camino más barato y el de menor alcance, útil sobre todo como preparación.
- Además de los tres: el prerrequisito común Ninguno funciona sin el DMARC en política de bloqueo, y la exigencia alcanza también a los subdominios: el estándar pide la misma aplicación en el dominio principal y en la política de subdominio, con cobertura integral (pct=100) y sin aplicación parcial. Es lo que verifica antes que cualquier otra cosa, y lo que más reprueba a dominios que se creen listos.
Por qué el logotipo suele ser lo que destraba el proyecto
Hay una ironía útil en el BIMI. SPF, DKIM y DMARC son invisibles: funcionan sin que nadie lo note, y por eso compiten mal por presupuesto y por atención de la dirección frente a cualquier proyecto que produzca algo visible. El BIMI invierte ese juego, porque pone la marca de la empresa delante del cliente, dentro de la bandeja de entrada, junto a mensajes que hoy aparecen con una inicial genérica. El efecto práctico es que el logotipo le da al trabajo de autenticación un patrocinador que no suele tener: quien quiere la marca en la bandeja necesita antes el DMARC en bloqueo, y termina defendiendo el proyecto que el área técnica ya venía pidiendo. El camino es siempre ese, y no al revés: no existe atajo que entregue la imagen sin el trabajo de autenticación detrás. Cuando alguien presenta el BIMI como una mejora de identidad visual aislada, la cuenta no cierra: lo que se está comprando es el resultado final de una implementación completa.
Cómo llegar al logotipo en la bandeja de entrada
La secuencia es rígida, porque cada etapa depende de que la anterior esté comprobadamente concluida:
- Confirme el DMARC en bloqueo, y no solo publicadoAntes que nada, verifique que la política esté en cuarentena o rechazo, con cobertura integral. Esta es la etapa que reprueba a la mayoría de los dominios, y ninguna de las siguientes compensa su ausencia.
- Revise la situación de su marcaSi el logotipo está registrado como marca, el camino de mayor aceptación está abierto. Si no lo está, decida entre iniciar el registro o seguir por la alternativa de menor alcance, sabiendo del límite.
- Prepare el archivo dentro de las reglasLa conversión al formato aceptado es rápida, pero las reglas son estrictas en cuanto a fondo, proporción y contenido de la imagen. Un archivo fuera del perfil es un motivo silencioso de no exhibición.
- Emita el certificado y publique el registroCon el certificado emitido, publique en el DNS el registro que apunta al logotipo y a él. A partir de ahí, le toca a cada proveedor decidir cuándo mostrarlo.
- Trate la exhibición como indicador, no como entregaSiga dónde aparece el logotipo y dónde no. La ausencia suele indicar reputación de envío o un archivo fuera del perfil, y ambos son accionables.
En la práctica
El logotipo en la bandeja de entrada es una credencial con foto: no es lo que da acceso, es lo que muestra que la identidad ya fue verificada antes. Por eso no existe camino corto. Cuando el cliente ve la marca junto al mensaje, lo que está viendo es el SPF, el DKIM y el DMARC funcionando, traducidos a la única forma que una persona común alcanza a percibir.
Cómo Zamak trata el BIMI
Zamak Technologies trata el BIMI como el cierre de un trabajo, no como un ítem suelto: primero lleva el DMARC del dominio a bloqueo con medición, y solo después prepara el logotipo, el certificado y el registro, junto al equipo que ya cuida la marca y el dominio. Es el mismo camino aplicado a los dominios con los que Zamak habla con el mercado. La verificación de suplantación de correo muestra en segundos si su dominio ya está en el escalón que el logotipo exige. La conducción de esa secuencia forma parte de la Seguridad de Correo Gestionada y de la Ciberseguridad gestionada del Método Zamak.