BIMI e VMC

Os quatro requisitos prévios

Antes de pensar em certificados, quatro coisas têm que estar no lugar. A primeira é um DMARC em aplicação: política p=quarantine ou p=reject cobrindo 100% do correio, porque um p=none não qualifica e nenhum provedor processará o seu BIMI sem aplicação real. A segunda é SPF e DKIM corretos e alinhados com o domínio que se vê no remetente; uma falha de alinhamento silenciosa impede que o logo apareça ainda que todo o resto esteja bem — é o mesmo alinhamento que detalhamos na página de autenticação de e-mail. A terceira, conforme a via, é o ativo de marca: uma marca figurativa registrada e vigente para o VMC, ou a prova de uso público continuado para o CMC. A quarta é o controle do domínio de envio, para publicar o registro BIMI no lugar correto. A ordem não é decorativa: esses requisitos se fecham em sequência, e pular o primeiro invalida todo o esforço posterior.

Como um provedor de caixa avalia o BIMI?

Entender a sequência que o receptor segue ajuda a ver por que a ordem importa tanto. Quando o seu correio chega, o provedor confere primeiro que ele passa DMARC com uma política em aplicação; se não, nem olha o resto. Depois busca o seu registro BIMI no DNS, que aponta tanto para o logo SVG hospedado quanto — quando corresponde — para o certificado. Recupera esse SVG e, onde o provedor exige certificado, valida o seu VMC ou CMC frente a uma autoridade emissora que reconheça. Só se toda a cadeia bate — autenticação em aplicação, registro correto, logo conforme, certificado válido e de um emissor aceito — o logo aparece. Cada elo quebrado deixa a mensagem sem logo e, o mais frustrante, quase nunca com uma mensagem de erro que diga por quê. Daí que o diagnóstico cuidadoso valha tanto quanto a configuração.

O registro BIMI no DNS, peça a peça

O registro BIMI é um TXT publicado em uma localização concreta do DNS, e entender as suas partes evita as falhas mais comuns. Vive sob um nome com o formato default._bimi.seudominio.com, onde default é o seletor — você pode definir outros para distintos fluxos, mas a maioria começa com o predeterminado. O valor arranca com v=BIMI1 e leva duas etiquetas que importam: l=, que aponta por HTTPS para a URL onde você hospeda o logo SVG, e a=, que aponta para a URL do certificado em formato PEM quando você usa VMC ou CMC. Um CMC e um VMC se publicam igual neste sentido; a diferença vive no certificado, não no registro. Três detalhes decidem se funciona: o logo deve ser servido por HTTPS com um certificado TLS válido, as URLs devem ser estáveis, e o registro deve ser publicado no domínio do qual realmente sai o correio, alinhado com o que o destinatário vê no remetente. Publicar o TXT no domínio de organização enquanto o correio sai de um subdomínio — ou ao contrário — é uma das quebras de alinhamento mais frequentes e mais difíceis de diagnosticar a olho.

# Requisito: o DMARC está de fato em enforcement?
$ dig +short TXT _dmarc.exemplo.com
"v=DMARC1; p=none; rua=mailto:[email protected]"
# p=none — o BIMI não se exibe: o enforcement (quarantine/reject) vem primeiro

# O registro BIMI: aponta a um logo e a um certificado?
$ dig +short TXT default._bimi.exemplo.com
"v=BIMI1; l=https://exemplo.com/logo.svg; a=https://exemplo.com/vmc.pem"
# o registro está bem formado — mas segue invisível enquanto o DMARC estiver em p=none

Que caixas exibem o logo de verdade?

Convém plantear o projeto com uma cobertura realista, porque o suporte difere entre provedores e o selo azul é exclusivo de um. A tabela resume onde o logo aparece, onde o selo e onde faz falta certificado.

Preparar o logo: onde os SVG falham

O logo não é um PNG nem um SVG qualquer: tem que cumprir a especificação SVG Tiny PS, uma versão limitada do formato pensada para ser segura e previsível. Isso significa, entre outras coisas, sem scripts, sem referências a recursos externos, com uma tela quadrada e só com o subconjunto de etiquetas que a especificação permite. O logo que uma ferramenta de design exporta quase nunca valida de primeira, porque arrasta metadados, camadas, fontes embutidas ou efeitos que o formato rejeita. A isso se soma uma consideração estética: muitas caixas recortam o logo em círculo, então um design pensado para um retângulo pode ficar mal encaixado. Preparar o SVG — limpá-lo até validar e ajustá-lo para que fique bem recortado — é uma das tarefas mais exigentes do projeto e uma das que mais atrasos provoca quando se subestima.

A parte que mais se subestima: mantê-lo vivo

Conseguir que o logo apareça é um marco, mantê-lo é um compromisso. O certificado vence e há que renová-lo a cada ano; a marca registrada deve seguir vigente, porque se deixar expirar, o VMC deixa de ser válido. A política DMARC tem que permanecer em aplicação: se alguém a relaxa para p=none para resolver um problema de entrega, o logo desaparece com ela. E o trio logo-marca-titular deve coincidir com exatidão: o desenho do certificado, o SVG publicado e o proprietário registrado têm que ser o mesmo, sem variações. Cada um desses pontos é uma via silenciosa pela qual um logo conseguido com esforço cai meses depois sem que ninguém o provoque de propósito. Tratar o BIMI como uma instalação de uma só vez é o erro que o deixa, com o tempo, sem efeito.

Quanto custa o BIMI, sem rodeios?

O gasto recorrente real é o certificado. Um VMC fica entre 749 e 1.688 dólares anuais conforme a autoridade emissora; um CMC parte de uns 650 dólares por ano. Se você vai pela via VMC e ainda não tem a marca registrada, há que somar o custo e o prazo do registro. Para uma marca lusófona, esse registro costuma se fazer no INPI do Brasil, no INPI de Portugal ou na EUIPO para cobertura europeia — da ordem de algumas centenas de dólares na oficina americana ou cerca de 850 euros na europeia, com as taxas próprias de cada INPI —, e é um desembolso majoritariamente único mas que alonga o calendário. Convém confirmar de antemão que o escritório onde você registra a marca está na lista de oficinas que o emissor do VMC reconhece, para não pagar um certificado que depois tropeça na verificação. A hospedagem do arquivo de certificado e do SVG pode sair grátis com alguns serviços, de modo que não é aí que está o custo. Posto em perspectiva, para uma marca que envia a volume o certificado é uma rubrica modesta; a pergunta tem menos a ver com poder pagá-lo do que com saber se o retorno justifica o projeto, que é o que abordamos a seguir com honestidade.

Os emissores de certificados e como escolher

O certificado VMC ou CMC não é emitido por qualquer um: há um conjunto limitado de autoridades reconhecidas, e em meados de 2026 o grupo de trabalho do padrão lista DigiCert, GlobalSign e SSL.com como emissores públicos, com outras como Sectigo e Entrust presentes no mercado através de revendedores. A diferença entre elas se reduz a três eixos práticos. O primeiro é o preço, que oscila de forma notável — a Sectigo costuma aparecer como a opção mais econômica, enquanto DigiCert e Entrust ficam mais acima —, então convém comparar antes de pedir. O segundo é o acompanhamento: o processo leva burocracia de verificação de marca e de identidade, e alguns emissores guiam melhor que outros, o que poupa semanas de idas e vindas. O terceiro, menos óbvio e mais importante, é a aceitação: nem todos os provedores de caixa reconhecem certificados de todos os emissores, então convém confirmar que as caixas dos seus destinatários aceitam o emissor que você escolhe antes de pagar. Recomendar um emissor sem levar em conta este último ponto é um erro caro, e é justo onde um olhar independente — sem comissão por emissor — evita que você pague por um certificado que um provedor relevante não honra.

O selo azul do Gmail, em concreto

Merece a sua própria seção porque concentra boa parte do interesse. O Gmail mostra um selo azul de verificação junto ao logo unicamente quando há um VMC válido por trás; um CMC exibe o logo no Gmail, mas não o selo. Para muitas marcas, esse distintivo é justo o motivo de ir pelo caminho mais caro e lento do VMC, porque é o sinal de confiança mais explícito que uma caixa concede hoje a um remetente. Se o selo não faz parte da sua estratégia, o CMC dá a você quase todo o benefício visual por menos dinheiro e menos burocracia. Convém decidir isso cedo, porque condiciona se você precisa ou não de uma marca registrada e, com ela, semanas ou meses de trâmite somados ao projeto.

Vale a pena o retorno do BIMI?

Os estudos do setor atribuem ao BIMI melhorias de abertura, de recordação de marca e de confiança, com cifras que convém tomar com prudência porque procedem de amostras e métodos díspares. A parte sólida do retorno é dupla e não depende dessas cifras. Primeiro, o BIMI obriga a ter o DMARC em aplicação, o que fecha a porta à falsificação do seu domínio: esse benefício de segurança é real com logo ou sem ele. Segundo, em uma caixa saturada de correio duvidoso, um logo verificado distingue a sua mensagem à primeira vista e reduz o atrito de reconhecer você. Não esperamos que o BIMI por si só mude os seus números da noite para o dia, e dizemos isso claro; o vemos como o arremate visível de uma autenticação bem-feita, não como um truque de marketing isolado. Quem parte sem DMARC em aplicação obtém, de quebra, o benefício maior: deixar de ser falsificável. Para situar as cifras que circulam: distintos estudos do setor reportam subidas de abertura da ordem de 4% a 10%, junto com melhorias de recordação de marca e de confiança declarada, e inclusive saltos chamativos de clique em alguns casos. O problema de citá-las como uma garantia é que procedem de amostras, setores e métodos muito distintos, e raramente isolam o efeito do BIMI do de ter, ao mesmo tempo, uma autenticação impecável e uma marca cuidada. As tratamos como indícios: um remetente com listas frias e má reputação não as verá, e um com boa higiene talvez já rondasse esses números. O que sim afirmamos sem asteriscos é a parte de segurança, porque não depende de como se mediu um painel.

Quanto se demora até ver o logo?

O calendário depende quase por completo dos requisitos prévios, não da emissão em si. Se você já tem o DMARC em aplicação de forma estável, a marca registrada e o SVG preparado, a emissão do certificado e a publicação do registro são a parte rápida, de dias. Se você parte de um p=none, primeiro há que fechar a autenticação e o seu alinhamento, subir a política e deixá-la assentar — vários provedores esperam que a aplicação leve em torno de trinta dias —, e só então começar com o logo. E se além disso você precisa registrar a marca para um VMC, esse trâmite manda sobre o resto do prazo. No conjunto, um projeto que arranca com a autenticação pronta costuma se resolver em duas a seis semanas; um que arranca do zero em autenticação ou em marca se mede em meses.

O BIMI em uma carteira de marcas

As organizações com várias marcas ou domínios enfrentam uma decisão extra: cada domínio que envie correio e deva mostrar logo precisa do seu próprio registro BIMI, do seu SVG conforme e, onde aplique, do seu certificado, com a marca correspondente a cada logo. Isso multiplica o custo e a manutenção, e obriga a um inventário claro de que domínio envia o quê e com que identidade visual. A armadilha habitual é publicar o registro no domínio de organização enquanto o correio sai de um subdomínio, ou ao contrário, quebrando o alinhamento que o BIMI exige. Para uma carteira, a ordem e o inventário valem tanto quanto a parte técnica: saber que domínios merecem o logo, quais compartilham marca e quais podem esperar evita pagar certificados que nunca chegam a se mostrar. Há ainda um detalhe técnico que poupa trabalho: os seletores BIMI permitem associar logos distintos a fluxos distintos dentro de um mesmo domínio, útil quando uma marca envia com identidades visuais separadas por linha de negócio. E convém lembrar que a aplicação de DMARC nem sempre se herda como a gente espera: um subdomínio pode ficar fora da política do domínio principal conforme como ela esteja escrita, de modo que um logo que aparece no correio corporativo pode não aparecer no de uma filial que envia do seu próprio subdomínio. Mapear essa herança antes de comprar certificados evita surpresas caras.

O BIMI como proteção de marca

Vale a pena dar a volta ao argumento. Além do logo, a verdadeira blindagem que o projeto aporta é obrigar você a pôr o DMARC em aplicação, que é a medida que de verdade impede que alguém envie correio se passando pelo seu domínio. Um falsificador não poderá colocar o seu logo verificado nas mensagens dele, porque não tem o seu certificado nem passa a sua autenticação; e como o seu domínio legítimo sim o mostra, a sua ausência em um correio fraudulento se torna um sinal para o destinatário atento. Visto assim, o BIMI é a cara visível de uma postura de segurança que protege a sua reputação e a de quem recebe o seu correio. O logo é o prêmio; a aplicação de DMARC que ele exige é o alicerce que sustenta todo o resto.

Erros frequentes que bloqueiam o logo

A maioria dos projetos de BIMI que não chegam a mostrar o logo falha por um punhado de causas repetidas, e quase nenhuma deixa uma mensagem de erro clara. A mais comum é a falta de coincidência exata entre o desenho da marca registrada, o SVG publicado e o titular do registro: o certificado exige que os três sejam o mesmo, e uma variação de cor ou de proporção basta para derrubá-lo. A segunda é a quebra de alinhamento por publicar o registro no domínio errado, ou por enviar de um subdomínio cujo DMARC não herda a aplicação do domínio principal. A terceira são as cadeias de inclusão de SPF excessivamente longas, que fazem a autenticação ou o alinhamento falhar de forma intermitente. A quarta é um SVG que não cumpre a especificação Tiny PS e que o validador rejeita por metadados ou etiquetas não permitidas. E a quinta, já mencionada, é escolher um emissor que algum provedor de destino não reconhece. Diagnosticar qual dessas é a causa, sem pistas do receptor, é boa parte do trabalho real: a configuração inicial é rápida; encontrar o elo quebrado é o que leva tempo.

Uma colocação em marcha por passos

Visto de ponta a ponta, o projeto segue uma ordem que convém respeitar para não pagar adiantado o que ainda não se sustenta:

• Autenticar e alinhar: SPF e DKIM corretos, com a assinatura alinhada ao domínio que se vê no remetente, e todas as fontes legítimas de envio passando antes de tocar a política.
• Subir para aplicação: levar o DMARC a p=quarantine ou p=reject com cobertura de 100%, e deixá-lo estável o tempo que os provedores esperam antes de mostrar logo.
• Decidir a via: escolher VMC ou CMC conforme você tenha marca registrada e conforme lhe importe o selo do Gmail, e começar o registro de marca quanto antes se for atrás do VMC.
• Preparar o logo: converter e limpar o SVG até validar como Tiny PS, conferindo como fica recortado em círculo.
• Emitir e hospedar: escolher um emissor que os seus destinatários reconheçam, tramitar o certificado e hospedar o PEM e o SVG por HTTPS em URLs estáveis.
• Publicar e conferir: adicionar o registro BIMI no domínio correto e verificar o resultado com envios de teste a Gmail, Yahoo e Apple Mail.

Cada passo depende do anterior, e começar pelo final — comprar o certificado antes de ter a autenticação em aplicação — é a forma mais segura de gastar dinheiro que não se traduz em um logo.

Marca figurativa, para além da nominativa

Um detalhe que pega muitas marcas de surpresa na via VMC é o tipo de registro que ele exige. O certificado pede uma marca figurativa — o desenho do logo em si — e não basta uma marca nominativa, que protege só o nome em texto. No INPI do Brasil, isso corresponde a registrar a marca na natureza «figurativa» ou «mista», e quem só tem o nome registrado precisa abrir um pedido adicional para o desenho. Além disso, o desenho registrado tem que coincidir com o SVG que você vai publicar, sem variações de cor ou proporção que o certificado não reconheça. Verificar que existe a marca figurativa certa, e que o ativo gráfico bate com ela, é um passo que convém fazer antes de iniciar qualquer trâmite de certificado, porque descobrir a incompatibilidade depois de pagar é o atraso mais frustrante e evitável do projeto.

BIMI para um público brasileiro: onde ele aparece

O retorno do BIMI para um remetente focado no Brasil depende de onde o seu público recebe. O logo aparece sobretudo no Gmail, no Yahoo e no Apple Mail, e como uma fatia grande dos usuários brasileiros usa justamente Gmail e Yahoo, a cobertura efetiva costuma ser ampla. Os provedores locais — UOL, Terra e BOL —, por outro lado, ainda não exibem o logo BIMI da mesma forma, então a parte da sua base que recebe nesses domínios não verá o indicador, ao menos por enquanto. Isso não tira o sentido do projeto, porque o benefício de segurança do DMARC em aplicação vale para todos os destinatários por igual, mas convém dimensionar a expectativa visual conforme a distribuição real do seu público entre provedores globais e locais. Medir essa distribuição antes de investir no certificado evita pagar pelo logo esperando uma cobertura que o seu público concreto não tem.

O logo verificado num cenário de muito phishing

Há um argumento de confiança que pesa mais em mercados onde o phishing é frequente, e o Brasil é um deles. Quando os usuários estão habituados a receber mensagens que se passam por bancos, lojas e órgãos públicos, um logo verificado na caixa funciona como um sinal rápido de que o remetente é quem diz ser, antes mesmo de abrir, e torna a sua ausência num correio fraudulento mais perceptível para quem aprendeu a procurá-lo. Para setores visados, como o financeiro e o varejo, esse efeito é a parte do retorno que mais se nota.

Onde encaixamos e como o levamos

Começamos onde tudo começa: com a auditoria gratuita de 25 pontos, que confirma se a sua autenticação está pronta para suportar o BIMI e o que falta para chegar. A partir daí, o trabalho segue a sequência correta: fechar SPF, DKIM e o alinhamento; subir o DMARC para aplicação quando os relatórios o respaldam e deixar que se assente; preparar e validar o SVG conforme a especificação; guiar você na escolha entre VMC e CMC e entre emissores; publicar o registro BIMI no domínio correto; e conferir o resultado em Gmail, Yahoo e Apple Mail com envios de teste. Depois, deixamos a você um plano de manutenção — renovações, vigência da marca, política DMARC estável — ou o levamos como operação contínua. Como não revendemos certificados nem cobramos por emissor, a recomendação se decide pelo seu caso e não por um acordo nosso com um provedor.