O que é BIMI (logo verificado na caixa de entrada)?
O BIMI é o padrão que faz o logotipo oficial de uma empresa aparecer ao lado das mensagens dela na caixa de entrada do destinatário. Ele não acrescenta uma camada de segurança nova: é a recompensa visível de quem já fez o resto, porque só é exibido para domínios que mantêm o DMARC em política de bloqueio. É o único dos controles de autenticação de e-mail que o cliente final enxerga, e por isso o que mais ajuda a justificar o trabalho dos outros três.
Como o BIMI funciona
O BIMI, sigla de Brand Indicators for Message Identification, é o último elo de uma corrente: ele só é avaliado depois que a mensagem passou por toda a autenticação e a política do domínio provou estar valendo. Sem isso, o logotipo simplesmente não aparece.
Leva o DMARC a bloqueio, com cobertura total
O padrão exige que a política esteja em quarentena ou rejeição, aplicada a todas as mensagens. Domínio em observação, ou com aplicação parcial, não passa desta etapa.
Prepara o logotipo no formato exigido
O logo precisa estar no SVG Tiny PS, um perfil restrito de imagem vetorial criado especificamente para esse uso: fundo sólido, quadrado, sem elementos externos. É uma conversão simples, mas com regras estritas.
Obtém o certificado que comprova o direito à marca
Uma autoridade certificadora confere que a empresa realmente tem direito àquele logotipo e emite um certificado. O mais aceito exige marca registrada; há uma alternativa para logotipos sem registro, com suporte menor.
Publica o registro e os provedores exibem
Um registro de texto no DNS aponta para o arquivo do logotipo e para o certificado. A partir daí, cada provedor decide, pelos seus próprios critérios, quando mostrar a imagem.
Fonte: guia de implementação do BIMI Group, a entidade que mantém o padrão, que define a exigência de DMARC em aplicação com cobertura integral, o perfil de imagem aceito e a diferença entre os tipos de certificado.
O que o logotipo não compra
- Não é uma camada de proteção. O BIMI não bloqueia, não filtra e não impede mensagem nenhuma. Ele é consequência de uma proteção que já existe, e um domínio sem DMARC em bloqueio não ganha nada publicando o registro.
- Não garante exibição. Cada provedor aplica critérios próprios, que incluem reputação de envio, e nenhum deles se compromete a mostrar o logotipo sempre. Publicar é condição necessária, não suficiente.
- A versão sem certificado tem alcance limitado. É possível declarar o logotipo sem passar por uma autoridade certificadora, mas o suporte a essa forma é bem menor entre os provedores.
- A exigência de marca registrada é uma barreira real. O certificado mais aceito se apoia em marca registrada, o que envolve custo e prazo de registro. Vale conferir a situação da marca antes de prometer o logotipo na caixa para a diretoria.
Os três caminhos para o logotipo
- Certificado sobre marca registrada (VMC) O caminho de maior aceitação. A autoridade certificadora valida o registro da marca e emite o certificado que acompanha o logotipo. Exige que a marca esteja efetivamente registrada.
- Certificado sem marca registrada (CMC) Uma alternativa criada para quem tem um logotipo consolidado mas não o registrou como marca. A validação é diferente e a aceitação entre provedores é menor.
- Declaração sem certificado (BIMI autodeclarado) Publicar o registro apontando só para o arquivo do logotipo, sem nenhuma validação externa. É o caminho mais barato e o de menor alcance, útil sobretudo como preparação.
- Além dos três: o pré-requisito comum Nenhum deles funciona sem o DMARC em política de bloqueio, e a exigência alcança também os subdomínios: o padrão pede a mesma aplicação no domínio principal e na política de subdomínio, com cobertura integral (pct=100), sem aplicação parcial. É o que ele verifica antes de qualquer outra coisa, e o que mais reprova domínio que se julga pronto.
Por que o logotipo costuma ser o que destrava o projeto
Há uma ironia útil no BIMI. SPF, DKIM e DMARC são invisíveis: funcionam sem que ninguém perceba, e por isso competem mal por orçamento e por atenção da diretoria contra qualquer projeto que produza algo visível. O BIMI inverte esse jogo, porque coloca a marca da empresa na frente do cliente, dentro da caixa de entrada, ao lado de mensagens que hoje aparecem com uma inicial genérica. O efeito prático é que o logotipo dá ao trabalho de autenticação um patrocinador que ele não costuma ter: quem quer a marca na caixa de entrada precisa, antes, do DMARC em bloqueio, e passa a defender junto o projeto que a área técnica já vinha pedindo. O caminho é sempre esse, e não o contrário: não existe atalho que entregue a imagem sem o trabalho de autenticação por trás. Quando alguém apresenta o BIMI como uma melhoria de identidade visual isolada, a conta não fecha: o que está sendo comprado é o resultado final de uma implantação completa.
Como chegar ao logotipo na caixa de entrada
A sequência é rígida, porque cada etapa depende da anterior estar comprovadamente concluída:
- Confirme o DMARC em bloqueio, e não apenas publicadoAntes de qualquer coisa, verifique se a política está em quarentena ou rejeição, com cobertura integral. Esta é a etapa que reprova a maioria dos domínios, e nenhuma das seguintes compensa a falta dela.
- Verifique a situação da sua marcaSe o logotipo estiver registrado como marca, o caminho de maior aceitação está aberto. Se não estiver, decida entre iniciar o registro ou seguir pela alternativa de menor alcance, sabendo do limite.
- Prepare o arquivo dentro das regrasA conversão para o formato aceito é rápida, mas as regras são estritas quanto a fundo, proporção e conteúdo da imagem. Um arquivo fora do perfil é motivo silencioso de não exibição.
- Emita o certificado e publique o registroCom o certificado emitido, publique no DNS o registro que aponta para o logotipo e para ele. A partir daí, cabe a cada provedor decidir quando exibir.
- Trate a exibição como indicador, não como entregaAcompanhe onde o logotipo aparece e onde não aparece. Ausência costuma indicar reputação de envio ou arquivo fora do perfil, e ambos são acionáveis.
Na prática
O logotipo na caixa de entrada é um crachá com foto: ele não é o que dá acesso, é o que mostra que a identidade já foi conferida antes. Por isso não existe caminho curto. Quando o cliente vê a marca ao lado da mensagem, o que ele está vendo é o SPF, o DKIM e o DMARC funcionando, traduzidos na única forma que uma pessoa comum consegue perceber.
Como a Zamak trata o BIMI
A Zamak Technologies trata o BIMI como o fecho de um trabalho, não como um item avulso: primeiro leva o DMARC do domínio a bloqueio com medição, e só depois prepara o logotipo, o certificado e o registro, ao lado da equipe que já cuida da marca e do domínio. É o mesmo caminho aplicado aos domínios com que a Zamak fala com o mercado. A verificação de falsificação de e-mail mostra em segundos se o seu domínio já está no degrau que o logotipo exige. A condução dessa sequência faz parte da Segurança de E-mail Gerenciada e da Cibersegurança gerenciada do Método Zamak.