¿Qué es BIMI (Brand Indicators for Message Identification)?

Definición

BIMI son las siglas de Brand Indicators for Message Identification. Es una especificación, desarrollada mediante la colaboración del sector y descrita en un borrador del IETF, que define cómo una marca puede hacer que su logotipo aparezca junto a los mensajes que envía. Cuando una bandeja de entrada compatible muestra un correo, en lugar de un marcador genérico o las iniciales del remitente puede mostrar el logotipo real de la marca, igual que mostraría un avatar conocido.

El punto crucial es que BIMI no es una función independiente que puedas simplemente activar. Es la punta visible de una pirámide de autenticación. La base es SPF, que enumera tus servidores de envío autorizados. Encima se asienta DKIM, que firma tus mensajes criptográficamente. Por encima está DMARC, que vincula la autenticación con la dirección De visible y debe configurarse con una política de aplicación. Solo cuando esa base está en su sitio, BIMI añade el logotipo. Dicho de otro modo, BIMI convierte el trabajo de autenticación invisible en algo que el destinatario sí puede ver.

BIMI también suele implicar un certificado que confirma que una marca posee legítimamente el logotipo que muestra. Eso evita que un actor malicioso reclame el logotipo de una marca conocida. Los dos tipos de certificado, el Verified Mark Certificate y el Common Mark Certificate, difieren en lo que exigen, y la elección entre ellos determina lo accesible que resulta BIMI para una organización concreta.

Cómo funciona

BIMI se ejecuta como una comprobación final tras la autenticación. Cuando un mensaje llega a un proveedor de buzones compatible, el proveedor evalúa primero DMARC. Como BIMI requiere DMARC con una política de aplicación, el proveedor confirma que el mensaje pasa DMARC con una política de p=quarantine o p=reject. Una política de p=none explícitamente no basta para BIMI, lo cual es uno de los hechos prácticos más importantes a la hora de adoptarlo.

Una vez que se cumple la aplicación de DMARC, el proveedor busca el registro BIMI en el DNS del dominio remitente. Ese registro apunta al archivo del logotipo de la marca, que debe estar en un formato específico: SVG Tiny Portable Secure, abreviado SVG Tiny PS. La imagen tiene que cumplir reglas estrictas, entre ellas una relación de aspecto cuadrada de 1:1, un tamaño mínimo de 96 por 96 píxeles, dimensiones especificadas en píxeles absolutos y un tamaño de archivo inferior a unos 32 kilobytes. Los archivos JPEG, PNG y SVG estándar no se aceptan.

El registro también puede hacer referencia a un certificado. Donde un proveedor exige uno, como Gmail, valida el certificado antes de mostrar el logotipo. Un Verified Mark Certificate demuestra que la marca posee una marca registrada del logotipo, y el SVG enviado debe coincidir exactamente con la imagen de la oficina de marcas, ya que incluso pequeñas variaciones provocan el rechazo. Un Common Mark Certificate sigue otra vía: no necesita una marca registrada, sino que la marca demuestra que el logotipo se ha mostrado públicamente en su dominio durante al menos doce meses. Si todas las comprobaciones pasan, la bandeja de entrada muestra el logotipo verificado junto al mensaje.

Por qué importa para la entregabilidad del correo

Conviene tener cuidado aquí, porque BIMI suele malinterpretarse. BIMI no es una señal directa de clasificación de entregabilidad. Publicar un registro BIMI no mejora por sí solo tu posicionamiento en la bandeja de entrada, y un logotipo no salvará a un remitente con mala reputación. Tratar BIMI como un atajo de entregabilidad solo lleva a la decepción.

Donde BIMI realmente ayuda es de forma indirecta, y el efecto es real. El principal beneficio es la disciplina que obliga a tener. BIMI no puede funcionar sin DMARC en aplicación, así que cualquier marca que adopte BIMI debe pasar su política DMARC a p=quarantine o p=reject. Ese paso protege de forma significativa al dominio frente a la suplantación de dominio exacto, porque el correo que no supera la autenticación ahora se pone en cuarentena o se rechaza en lugar de solo monitorizarse. Una aplicación sólida de DMARC es realmente buena tanto para la seguridad como para la salud a largo plazo de un dominio remitente.

El segundo beneficio es el reconocimiento y la confianza. Un logotipo verificado junto a un mensaje ayuda a los destinatarios a identificar el correo legítimo de un vistazo y es más difícil de falsificar para los suplantadores. Eso puede favorecer mayores tasas de apertura e interacción, y la interacción es una de las señales que los proveedores de buzones usan para decidir la ubicación. Así que la cadena va de BIMI a la aplicación de DMARC y el reconocimiento de marca, de ahí a la interacción y la reputación, y finalmente a la entregabilidad. BIMI importa, pero importa por lo que exige y por lo que señala, no como una palanca que accionas por sí sola.

Cómo lo gestiona VeriMails

VeriMails no emite certificados BIMI ni aloja logotipos BIMI; eso viene de las autoridades de certificación y de tu configuración de DNS. Lo que sí hace VeriMails es respaldar las bases de las que depende BIMI y la higiene del lado del destinatario que mantiene en buen rendimiento una campaña con logotipo.

BIMI se apoya en el stack de SPF, DKIM y DMARC, y VeriMails ofrece herramientas gratuitas para cada capa: un generador de SPF, un generador de DKIM y un generador de DMARC. Te ayudan a crear registros DNS correctos, que son el trabajo previo necesario para que BIMI sea siquiera posible, ya que BIMI requiere DMARC publicado con una política de aplicación. Acertar con esa base de autenticación es el primer paso práctico hacia un logotipo BIMI.

La otra mitad es tu lista. Un logotipo BIMI le da a una campaña una apariencia pulida y fiable, pero esa apariencia se viene abajo si la campaña se envía a una lista llena de direcciones no válidas, porque los rebotes y las quejas resultantes dañan la reputación del remitente, que es la que decide si tu correo autenticado y con logotipo llega siquiera a la bandeja de entrada. VeriMails verifica tu lista de destinatarios mediante un proceso completo de varias capas: validación de sintaxis, confirmación de MX y DNS, un handshake SMTP en directo con el servidor de correo receptor y detección de dominios catch-all, direcciones desechables y direcciones basadas en roles. Puedes verificar una lista subiendo un CSV o comprobar direcciones de forma individual a través de la API REST, con categorías de entregabilidad claras. Las cuentas nuevas obtienen 100 créditos gratuitos al registrarse, sin necesidad de tarjeta de crédito y con créditos que nunca caducan, con verificación desde 0.0019 dollars per email, que son 19 dollars for 10,000 credits, y planes anuales desde $12.50/month con facturación anual. Una autenticación sólida te gana el logotipo; una lista limpia y verificada mantiene la campaña que hay detrás llegando a la bandeja de entrada.

Preguntas frecuentes