BIMI y VMC

Los cuatro requisitos previos

Antes de pensar en certificados, cuatro cosas tienen que estar en su sitio. La primera es un DMARC en aplicación: política p=quarantine o p=reject cubriendo el 100% del correo, porque un p=none no califica y ningún proveedor procesará tu BIMI sin aplicación real. La segunda es SPF y DKIM correctos y alineados con el dominio que se ve en el remitente; un fallo de alineación silencioso impide que el logo aparezca aunque todo lo demás esté bien. La tercera, según la vía, es el activo de marca: una marca figurativa registrada y vigente para el VMC, o la prueba de uso público continuado para el CMC. La cuarta es el control del dominio de envío, para publicar el registro BIMI en el lugar correcto. El orden no es decorativo: estos requisitos se cierran en secuencia, y saltarse el primero invalida todo el esfuerzo posterior.

¿Cómo evalúa BIMI un proveedor de buzón?

Entender la secuencia que sigue el receptor ayuda a ver por qué el orden importa tanto. Cuando llega tu correo, el proveedor comprueba primero que pasa DMARC con una política en aplicación; si no, ni mira el resto. Después busca tu registro BIMI en el DNS, que apunta tanto al logo SVG alojado como —cuando corresponde— al certificado. Recupera ese SVG y, donde el proveedor exige certificado, valida tu VMC o CMC frente a una autoridad emisora que reconozca. Solo si toda la cadena cuadra —autenticación en aplicación, registro correcto, logo conforme, certificado válido y de un emisor aceptado— muestra el logo. Cada eslabón roto deja el mensaje sin logo y, lo más frustrante, casi nunca con un mensaje de error que te diga por qué. De ahí que el diagnóstico cuidadoso valga tanto como la configuración.

El registro BIMI en el DNS, pieza a pieza

El registro BIMI es un TXT publicado en una ubicación concreta del DNS, y entender sus partes evita los fallos más comunes. Vive bajo un nombre con el formato default._bimi.tudominio.com, donde default es el selector —puedes definir otros para distintos flujos, pero la mayoría empieza con el predeterminado—. El valor arranca con v=BIMI1 y lleva dos etiquetas que importan: l=, que apunta por HTTPS a la URL donde alojas el logo SVG, y a=, que apunta a la URL del certificado en formato PEM cuando usas VMC o CMC. Un CMC y un VMC se publican igual en este sentido; la diferencia vive en el certificado, no en el registro. Tres detalles deciden si funciona: el logo debe servirse por HTTPS con un certificado TLS válido, las URLs deben ser estables, y el registro debe publicarse en el dominio del que realmente sale el correo, alineado con lo que ve el destinatario en el remitente. Publicar el TXT en el dominio de organización mientras el correo sale de un subdominio —o al revés— es una de las roturas de alineación más frecuentes y más difíciles de diagnosticar a ojo.

# Requisito: ¿está DMARC de verdad en enforcement?
$ dig +short TXT _dmarc.ejemplo.com
"v=DMARC1; p=none; rua=mailto:[email protected]"
# p=none — BIMI no se mostrará: el enforcement (quarantine/reject) va primero

# El registro BIMI: ¿apunta a un logo y a un certificado?
$ dig +short TXT default._bimi.ejemplo.com
"v=BIMI1; l=https://ejemplo.com/logo.svg; a=https://ejemplo.com/vmc.pem"
# el registro está bien formado — pero sigue invisible mientras DMARC esté en p=none

¿Qué bandejas muestran el logo de verdad?

Conviene plantear el proyecto con una cobertura realista, porque el soporte difiere entre proveedores y el tilde azul es exclusivo de uno. La tabla resume dónde aparece el logo, dónde el tilde y dónde hace falta certificado.

Preparar el logo: donde fallan los SVG

El logo no es un PNG ni un SVG cualquiera: tiene que cumplir la especificación SVG Tiny PS, una versión acotada del formato pensada para ser segura y predecible. Eso significa, entre otras cosas, sin scripts, sin referencias a recursos externos, con un lienzo cuadrado y solo con el subconjunto de etiquetas que la especificación permite. El logo que exporta una herramienta de diseño casi nunca valida a la primera, porque arrastra metadatos, capas, fuentes incrustadas o efectos que el formato rechaza. A eso se suma una consideración estética: muchos buzones recortan el logo en círculo, así que un diseño pensado para un rectángulo puede quedar mal encajado. Preparar el SVG —limpiarlo hasta que valide y ajustarlo para que se vea bien recortado— es una de las tareas más quisquillosas del proyecto y una de las que más retrasos provoca cuando se subestima.

La parte que más se subestima: mantenerlo vivo

Conseguir que el logo aparezca es un hito, mantenerlo es un compromiso. El certificado caduca y hay que renovarlo cada año; la marca registrada debe seguir vigente, porque si se deja expirar, el VMC deja de ser válido. La política DMARC tiene que permanecer en aplicación: si alguien la relaja a p=none para resolver un problema de entrega, el logo desaparece con ella. Y el trío logo-marca-titular debe coincidir con exactitud: el dibujo del certificado, el SVG publicado y el propietario registrado tienen que ser el mismo, sin variaciones. Cada uno de estos puntos es una vía silenciosa por la que un logo conseguido con esfuerzo se cae meses después sin que nadie lo provoque a propósito. Tratar BIMI como una instalación de una sola vez es el error que lo deja, con el tiempo, sin efecto.

¿Cuánto cuesta BIMI, sin rodeos?

El gasto recurrente real es el certificado. Un VMC ronda los 749 a 1.688 dólares anuales según la autoridad emisora; un CMC parte de unos 650 dólares al año. Si vas por la vía VMC y aún no tienes la marca registrada, hay que sumar el coste y el plazo del registro —del orden de unos cientos de dólares en la oficina estadounidense o cerca de 850 euros en la europea—, que es un desembolso mayormente único pero que alarga el calendario. El alojamiento del archivo de certificado y del SVG puede salir gratis con algunos servicios, de modo que no es ahí donde está el coste. Puesto en perspectiva, para una marca que envía a volumen el certificado es una partida modesta; la pregunta no es tanto si puedes pagarlo como si el retorno justifica el proyecto, que es lo que abordamos a continuación con honestidad.

Los emisores de certificados y cómo elegir

El certificado VMC o CMC no lo emite cualquiera: hay un conjunto acotado de autoridades reconocidas, y a mediados de 2026 el grupo de trabajo del estándar lista a DigiCert, GlobalSign y SSL.com como emisores públicos, con otras como Sectigo y Entrust presentes en el mercado a través de revendedores. La diferencia entre ellas se reduce a tres ejes prácticos. El primero es el precio, que oscila de forma notable —Sectigo suele aparecer como la opción más económica, mientras DigiCert y Entrust se sitúan más arriba—, así que conviene comparar antes de pedir. El segundo es el acompañamiento: el proceso lleva burocracia de verificación de marca y de identidad, y algunos emisores guían mejor que otros, lo que ahorra semanas de ida y vuelta. El tercero, menos obvio y más importante, es la aceptación: no todos los proveedores de buzón reconocen certificados de todos los emisores, así que conviene confirmar que los buzones de tus destinatarios aceptan al emisor que eliges antes de pagar. Recomendar un emisor sin tener en cuenta este último punto es un error caro, y es justo donde una mirada independiente —sin comisión por emisor— evita que pagues por un certificado que un proveedor relevante no honra.

El tilde azul de Gmail, en concreto

Merece su propio apartado porque concentra buena parte del interés. Gmail muestra un tilde azul de verificación junto al logo únicamente cuando hay un VMC válido detrás; un CMC enseña el logo en Gmail, pero no el tilde. Para muchas marcas, ese distintivo es justo el motivo de ir por el camino más caro y lento del VMC, porque es la señal de confianza más explícita que un buzón concede hoy a un remitente. Si el tilde no forma parte de tu estrategia, el CMC te da casi todo el beneficio visual por menos dinero y menos burocracia. Conviene decidir esto pronto, porque condiciona si necesitas o no una marca registrada y, con ella, semanas o meses de trámite añadidos al proyecto.

¿Vale la pena el retorno de BIMI?

Los estudios del sector atribuyen a BIMI mejoras de apertura, de recuerdo de marca y de confianza, con cifras que conviene tomar con prudencia porque proceden de muestras y métodos dispares. La parte sólida del retorno es doble y no depende de esas cifras. Primero, BIMI obliga a tener el DMARC en aplicación, lo que cierra la puerta a la suplantación de tu dominio: ese beneficio de seguridad es real con logo o sin él. Segundo, en un buzón saturado de correo dudoso, un logo verificado distingue tu mensaje a primera vista y reduce la fricción de reconocerte. No esperamos que BIMI por sí solo cambie tus números de la noche a la mañana, y lo decimos claro; lo vemos como el remate visible de una autenticación bien hecha, no como un truco de marketing aislado. Quien parte sin DMARC en aplicación obtiene, de paso, el beneficio mayor: dejar de ser suplantable. Para situar las cifras que circulan: distintos estudios del sector reportan subidas de apertura del orden del 4% al 10%, junto con mejoras de recuerdo de marca y de confianza declarada, e incluso saltos llamativos de clic en algunos casos. El problema de citarlas como una garantía es que proceden de muestras, sectores y métodos muy distintos, y rara vez aíslan el efecto de BIMI del de tener, a la vez, una autenticación impecable y una marca cuidada. Las tratamos como indicios: un remitente con listas frías y mala reputación no las verá, y uno con buena higiene quizá ya rondaba esos números. Lo que sí afirmamos sin asteriscos es la parte de seguridad, porque no depende de cómo se midió un panel.

¿Cuánto se tarda hasta ver el logo?

El calendario depende casi por completo de los requisitos previos, no de la emisión en sí. Si ya tienes el DMARC en aplicación de forma estable, la marca registrada y el SVG preparado, la emisión del certificado y la publicación del registro son la parte rápida, de días. Si partes de un p=none, primero hay que cerrar la autenticación y su alineación, subir la política y dejar que se asiente —varios proveedores esperan que la aplicación lleve en torno a treinta días—, y solo entonces empezar con el logo. Y si además necesitas registrar la marca para un VMC, ese trámite manda sobre el resto del plazo. En conjunto, un proyecto que arranca con la autenticación lista suele resolverse en dos a seis semanas; uno que arranca de cero en autenticación o en marca se mide en meses.

BIMI en una cartera de marcas

Las organizaciones con varias marcas o dominios afrontan una decisión extra: cada dominio que envíe correo y deba mostrar logo necesita su propio registro BIMI, su SVG conforme y, donde aplique, su certificado, con la marca correspondiente a cada logo. Eso multiplica el coste y el mantenimiento, y obliga a un inventario claro de qué dominio envía qué y con qué identidad visual. La trampa habitual es publicar el registro en el dominio de organización mientras el correo sale de un subdominio, o al revés, rompiendo la alineación que BIMI exige. Para una cartera, el orden y el inventario valen tanto como la parte técnica: saber qué dominios merecen el logo, cuáles comparten marca y cuáles pueden esperar evita pagar certificados que nunca llegan a mostrarse. Hay además un matiz técnico que ahorra trabajo: los selectores BIMI permiten asociar logos distintos a flujos distintos dentro de un mismo dominio, útil cuando una marca envía con identidades visuales separadas por línea de negocio. Y conviene recordar que la aplicación de DMARC no siempre se hereda como uno espera: un subdominio puede quedar fuera de la política del dominio principal según cómo esté escrita, de modo que un logo que aparece en el correo corporativo puede no aparecer en el de una filial que envía desde su propio subdominio. Mapear esa herencia antes de comprar certificados evita sorpresas caras.

BIMI como protección de marca

Vale la pena darle la vuelta al argumento. Más allá del logo, el verdadero blindaje que aporta el proyecto es obligarte a poner el DMARC en aplicación, que es la medida que de verdad impide que alguien envíe correo haciéndose pasar por tu dominio. Un suplantador no podrá colocar tu logo verificado en sus mensajes, porque no tiene tu certificado ni pasa tu autenticación; y como tu dominio legítimo sí lo muestra, su ausencia en un correo fraudulento se vuelve una señal para el destinatario atento. Visto así, BIMI es la cara visible de una postura de seguridad que protege tu reputación y la de quienes reciben tu correo. El logo es el premio; la aplicación de DMARC que exige es el cimiento que sostiene todo lo demás.

Errores frecuentes que bloquean el logo

La mayoría de los proyectos de BIMI que no llegan a mostrar el logo fallan por un puñado de causas repetidas, y casi ninguna deja un mensaje de error claro. La más común es la falta de coincidencia exacta entre el dibujo de la marca registrada, el SVG publicado y el titular del registro: el certificado exige que los tres sean el mismo, y una variación de color o de proporción basta para tumbarlo. La segunda es la rotura de alineación por publicar el registro en el dominio equivocado, o por enviar desde un subdominio cuyo DMARC no hereda la aplicación del dominio principal. La tercera son las cadenas de inclusión de SPF excesivamente largas, que hacen fallar la autenticación o la alineación de forma intermitente. La cuarta es un SVG que no cumple la especificación Tiny PS y que el validador rechaza por metadatos o etiquetas no permitidas. Y la quinta, ya mencionada, es elegir un emisor que algún proveedor de destino no reconoce. Diagnosticar cuál de estas es la causa, sin pistas del receptor, es buena parte del trabajo real: la configuración inicial es rápida; encontrar el eslabón roto es lo que lleva tiempo.

Una puesta en marcha por pasos

Visto de principio a fin, el proyecto sigue un orden que conviene respetar para no pagar por adelantado lo que aún no se sostiene:

• Autenticar y alinear: SPF y DKIM correctos, con la firma alineada al dominio que se ve en el remitente, y todas las fuentes legítimas de envío pasando antes de tocar la política.
• Subir a aplicación: llevar el DMARC a p=quarantine o p=reject con cobertura del 100%, y dejarlo estable el tiempo que esperan los proveedores antes de mostrar logo.
• Decidir la vía: elegir VMC o CMC según tengas marca registrada y según te importe el tilde de Gmail, y empezar el registro de marca cuanto antes si vas a por el VMC.
• Preparar el logo: convertir y limpiar el SVG hasta que valide como Tiny PS, comprobando cómo queda recortado en círculo.
• Emitir y alojar: elegir un emisor que tus destinatarios reconozcan, tramitar el certificado y alojar el PEM y el SVG por HTTPS en URLs estables.
• Publicar y comprobar: añadir el registro BIMI en el dominio correcto y verificar el resultado con envíos de prueba a Gmail, Yahoo y Apple Mail.

Cada paso depende del anterior, y empezar por el final —comprar el certificado antes de tener la autenticación en aplicación— es la forma más segura de gastar dinero que no se traduce en un logo.

Dónde encajamos y cómo lo llevamos

Empezamos donde empieza todo: con la auditoría gratuita de 25 puntos, que confirma si tu autenticación está lista para soportar BIMI y qué falta para llegar. A partir de ahí, el trabajo sigue la secuencia correcta: cerrar SPF, DKIM y la alineación; subir el DMARC a aplicación cuando los informes lo respaldan y dejar que se asiente; preparar y validar el SVG conforme a la especificación; guiarte en la elección entre VMC y CMC y entre emisores; publicar el registro BIMI en el dominio correcto; y comprobar el resultado en Gmail, Yahoo y Apple Mail con envíos de prueba. Después, te dejamos un plan de mantenimiento —renovaciones, vigencia de la marca, política DMARC estable— o lo llevamos como operación continua. Como no revendemos certificados ni cobramos por emisor, la recomendación se decide por tu caso y no por un acuerdo nuestro con un proveedor.