Cómo configurar BIMI: qué necesita y si vale la pena

BIMI permite que los proveedores de correo muestren tu logo junto a tus correos. Necesita tres cosas: DMARC en p=quarantine o p=reject, un logo en formato SVG Tiny PS alojado por HTTPS y un registro DNS en default._bimi.tudominio. Gmail además exige un certificado de marca de pago, ya sea un VMC (logo registrado como marca) o un CMC (logo en uso durante 12 meses).

Que valga la pena depende casi por completo del primer requisito. Si ya estás en DMARC en cumplimiento, BIMI son unas pocas horas de trabajo y una tarifa anual por el certificado. Si no lo estás, el certificado es lo de menos.

Qué exige BIMI, punto por punto

Requisito	Detalles	Fuente
DMARC en cumplimiento	p=quarantine o p=reject; no p=none. Google además exige pct=100	Google: Configurar BIMI
Autenticación alineada	SPF o DKIM alineado con el dominio visible del From	FAQ del BIMI Group
Logo SVG	Perfil SVG Tiny PS; sin scripts, enlaces externos, animación ni mapas de bits incrustados; cuadrado	Google; BIMI Group
Reglas SVG específicas de Gmail	Al menos 96 x 96 px en píxeles absolutos; se recomienda fondo sólido; se recomienda 32 KB o menos	Google
Alojamiento HTTPS	Servido por HTTPS, se recomienda TLS 1.2+, tipo de contenido image/svg+xml	Google; BIMI Group
Registro DNS	TXT en default._bimi.tudominio	BIMI Group
Certificado de marca	VMC o CMC para Gmail; opcional en algunos otros proveedores	Google; BIMI Group

El registro DNS en sí es corto:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/cert.pem"

l= es el logo y a= es el certificado. Deja a= vacío u omítelo para un logo autodeclarado, que según el BIMI Group muestran "Yahoo, Fastmail, and LaPoste" (Yahoo, Fastmail y La Poste), pero no Gmail.

Una trampa del requisito de DMARC: una política en modo de prueba no es cumplimiento. El FAQ del BIMI Group define el cumplimiento como quarantine o reject, "not p=none" (no p=none) y no pct<100. Con el nuevo estándar de DMARC, RFC 9989, la marca de prueba es t=y, y aplica la misma lógica. Si estás a mitad del despliegue siguiendo nuestra guía de p=none a p=reject, BIMI espera hasta que termines.

¿VMC o CMC?

Esta es la decisión que define el costo y los plazos.

	Verified Mark Certificate (VMC)	Common Mark Certificate (CMC)
Qué debe ser el logo	Una marca registrada o una marca gubernamental	Un logo en uso en tu dominio durante al menos 12 meses, o una versión modificada de una marca registrada
Cómo se comprueba	Registro de la marca ante una oficina de propiedad intelectual que el emisor reconozca	Uso previo: el logo debe estar hoy en tu sitio y aparecer en el mismo dominio en una captura de archive.org de al menos 12 meses antes
Logo en Gmail	Sí	Sí (compatible desde septiembre de 2024)
Marca de verificación en Gmail	Sí	No
Plazo	El registro de marca "can take 6 to 12 months" (puede tardar de 6 a 12 meses, según Google) si todavía no tienes una	Depende de si archive.org capturó tu sitio hace 12 meses o más
Vigencia	Máximo 398 días	Máximo 398 días

La regla de uso previo está en la sección 3.2.16.1 de los requisitos de Mark Certificate (versión 1.8, junio de 2026). El emisor debe verificar que el logo "was historically displayed at least 12 months earlier than the date of Mark verification on the same Domain Name" (se mostró históricamente al menos 12 meses antes de la fecha de verificación de la marca en el mismo nombre de dominio), y la única fuente de archivo aprobada que aparece es archive.org. Así que, antes de solicitar un CMC, busca tu página de inicio en la Wayback Machine. Si no hay ninguna captura que muestre el mismo logo hace un año, te lo rechazarán, por mucho tiempo que lo hayas usado de verdad.

Los dos tipos de certificado vencen a los 398 días como máximo, así que presupuesta la renovación anual, y también cambiar el archivo del logo si cambia tu marca.

¿Cuánto cuesta un certificado?

Intentamos leer los precios publicados el 1 de octubre de 2026 y no conseguimos una cifra que pudiéramos respaldar. Las páginas de emisores que consultamos necesitaban JavaScript para mostrar los precios o mostraban cifras que no sumaban un precio anual claro. El FAQ del BIMI Group solo dice que el precio "varies by MVA" (varía según la autoridad de verificación de marcas) y que hay que "expect an annual fee" (esperar una tarifa anual). Pide una cotización por escrito a al menos dos emisores de la lista del BIMI Group.

Quién lo usa de verdad: 40 dominios revisados

Consultamos default._bimi y _dmarc de 40 grandes marcas de consumo y B2B con dig el 1 de octubre de 2026.

Resultado	Dominios
Registro BIMI con certificado (a= con valor)	18
Registro BIMI sin certificado (autodeclarado)	5
Sin registro BIMI	17

El detalle es más útil que los totales:

• Todos los dominios con registro BIMI también tenían DMARC en quarantine o reject. Es un requisito, así que era de esperarse, pero confirma el orden: primero llegó el cumplimiento.
• La mayoría de los dominios sin BIMI también están en cumplimiento. Google, Yahoo, Microsoft, Stripe, Nike, Walmart, Target y otros publican p=reject y ningún registro BIMI. Cumplen los requisitos y decidieron no usarlo, algo que vale la pena recordar antes de tratar BIMI como imprescindible.
• Todos los bancos y empresas de pagos de la muestra tenían certificado. Bank of America, Chase, Wells Fargo, American Express y PayPal publicaban cada uno un registro BIMI con a=. Para ellos el riesgo de phishing es el más alto, y ahí es donde un logo verificado probablemente justifica su costo.
• Algunas grandes marcas se autodeclaran. Spotify, Salesforce y Mailchimp publican un logo sin certificado, así que Gmail no muestra nada para ellas, mientras que Yahoo podría hacerlo.
• Tres dominios devolvieron un registro TXT que no era de BIMI para default._bimi (una cadena SPF, por ejemplo) porque su DNS tiene un comodín. Si revisas tu propio dominio y ves algo raro, probablemente sea por eso. No es un registro BIMI.

Cuarenta dominios son una muestra, no un censo. Hay una muestra más grande en nuestro estudio de adopción de BIMI.

Cómo configurarlo

1. Llega a DMARC en cumplimiento en tu dominio organizacional, y en cualquier subdominio desde el que envíes, con pct=100 (o sin pct). Revísalo con nuestro verificador de DMARC.
2. Prepara el SVG. Google señala que "there are no applications to create an SVG file that meets all BIMI requirements" (no hay aplicaciones que creen un archivo SVG que cumpla todos los requisitos de BIMI) y que los archivos suelen necesitar edición a mano. Exporta desde tu herramienta de diseño y luego define version="1.2" y baseProfile="tiny-ps" en el elemento raíz, elimina ahí los atributos x= e y=, agrega un <title> y quita todo lo externo. Pon el logo sobre un fondo cuadrado sólido. El BIMI Group publica herramientas de conversión y verificación.
3. Consigue el certificado (VMC o CMC). El emisor valida tu organización y tu derecho sobre la marca, y te entrega un archivo PEM. Tu SVG va incrustado en el certificado, así que el logo que alojes debe coincidir con él.
4. Aloja los dos archivos por HTTPS en URLs estables. Comprueba que el SVG se sirva como image/svg+xml.
5. Publica el registro TXT en default._bimi.tudominio.
6. Envía a cuentas de prueba de Gmail y Yahoo y revisa. Mostrar el logo queda a criterio de cada proveedor. El propio FAQ del BIMI Group indica que "Each participating mailbox provider has their own criteria" (cada proveedor participante tiene sus propios criterios), y la reputación influye, así que una configuración correcta puede no mostrar el logo de inmediato.

¿Vale la pena? Una tabla de decisión

Tu situación	Nuestra opinión
DMARC todavía en p=none	Todavía no. Dedica el esfuerzo a llegar al cumplimiento, que protege tu dominio aparezca o no un logo
En cumplimiento, con marca registrada, marca de consumo que suelen suplantar	Sí. Un VMC con la marca de verificación de Gmail es la versión más fuerte, y los blancos de phishing son los que más se benefician
En cumplimiento, sin marca registrada, logo en tu sitio durante 12 meses o más y archivado	Razonable, con un CMC, si tu público está sobre todo en Gmail y reconoce tu logo
En cumplimiento, enviando sobre todo correo B2B uno a uno o correo en frío	Prioridad baja. Los destinatarios juzgan el nombre del remitente y el mensaje, y la tarifa de un CMC aporta poco
Dominio o logo totalmente nuevo	Espera. Un CMC necesita 12 meses de historial archivado

El resumen honesto del propio FAQ del BIMI Group es que BIMI "does not change message delivery" (no cambia la entrega de los mensajes). Es una señal visual. El valor real de un proyecto BIMI es que te obliga a llegar a DMARC en cumplimiento, la parte que de verdad impide que alguien envíe correo haciéndose pasar por ti. Revisa en qué punto estás con nuestra auditoría de entregabilidad gratuita.