Como configurar BIMI: o que precisa e se vale a pena

O BIMI permite que os provedores de e-mail mostrem seu logo ao lado dos seus e-mails. Ele precisa de três coisas: DMARC em p=quarantine ou p=reject, um logo no formato SVG Tiny PS hospedado via HTTPS e um registro DNS em default._bimi.seudominio. O Gmail também exige um certificado de marca pago, seja um VMC (logo registrado como marca) ou um CMC (logo em uso há 12 meses).

Se vale a pena depende quase totalmente do primeiro requisito. Se você já está com DMARC em enforcement, o BIMI é questão de algumas horas de trabalho e uma taxa anual de certificado. Se não está, o certificado é o de menos.

O que o BIMI exige, item por item

Requisito	Detalhes	Fonte
DMARC em enforcement	p=quarantine ou p=reject; não p=none. O Google também exige pct=100	Google: Configurar o BIMI
Autenticação alinhada	SPF ou DKIM alinhado com o domínio visível do From	FAQ do BIMI Group
Logo SVG	Perfil SVG Tiny PS; sem scripts, links externos, animação nem bitmaps incorporados; quadrado	Google; BIMI Group
Regras de SVG específicas do Gmail	No mínimo 96 x 96 px em pixels absolutos; fundo sólido recomendado; 32 KB ou menos recomendado	Google
Hospedagem HTTPS	Servido via HTTPS, TLS 1.2+ recomendado, tipo de conteúdo image/svg+xml	Google; BIMI Group
Registro DNS	TXT em default._bimi.seudominio	BIMI Group
Certificado de marca	VMC ou CMC para o Gmail; opcional em alguns outros provedores	Google; BIMI Group

O registro DNS em si é curto:

default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/cert.pem"

l= é o logo e a= é o certificado. Deixe a= vazio ou omita para um logo autodeclarado, que segundo o BIMI Group é exibido por "Yahoo, Fastmail, and LaPoste" (Yahoo, Fastmail e La Poste), mas não pelo Gmail.

Uma armadilha no requisito de DMARC: uma política em modo de teste não é enforcement. O FAQ do BIMI Group define enforcement como quarantine ou reject, "not p=none" (não p=none) e não pct<100. No novo padrão de DMARC, a RFC 9989, a flag de teste é t=y, e a mesma lógica vale. Se você está no meio da migração seguindo nosso guia de p=none para p=reject, o BIMI espera até você terminar.

VMC ou CMC?

Esta é a decisão que define custo e prazo.

	Verified Mark Certificate (VMC)	Common Mark Certificate (CMC)
O que o logo precisa ser	Uma marca registrada ou uma marca governamental	Um logo em uso no seu domínio há pelo menos 12 meses, ou uma versão modificada de uma marca registrada
Como é checado	Registro da marca em um órgão de propriedade intelectual reconhecido pelo emissor	Uso anterior: o logo precisa estar no seu site agora e aparecer no mesmo domínio em uma captura do archive.org de pelo menos 12 meses antes
Logo no Gmail	Sim	Sim (suportado desde setembro de 2024)
Selo de verificação no Gmail	Sim	Não
Prazo	O registro de marca "can take 6 to 12 months" (pode levar de 6 a 12 meses, segundo o Google) se você ainda não tiver um	Depende de o archive.org ter capturado seu site há 12 meses ou mais
Validade	Máximo de 398 dias	Máximo de 398 dias

A regra de uso anterior está na seção 3.2.16.1 dos requisitos de Mark Certificate (versão 1.8, junho de 2026). O emissor precisa verificar que o logo "was historically displayed at least 12 months earlier than the date of Mark verification on the same Domain Name" (foi exibido historicamente pelo menos 12 meses antes da data de verificação da marca no mesmo nome de domínio), e a única fonte de arquivo aprovada listada é o archive.org. Então, antes de pedir um CMC, procure sua página inicial na Wayback Machine. Se não houver uma captura mostrando o mesmo logo um ano atrás, o pedido será recusado, não importa há quanto tempo você realmente o use.

Os dois tipos de certificado vencem em no máximo 398 dias, então reserve orçamento para a renovação anual, e para trocar o arquivo do logo se a sua identidade visual mudar.

Quanto custa um certificado?

Tentamos ler os preços publicados em 1 de outubro de 2026 e não conseguimos um número que pudéssemos sustentar. As páginas de emissores que acessamos precisavam de JavaScript para mostrar os preços ou mostravam valores que não fechavam um preço anual claro. O FAQ do BIMI Group diz apenas que o preço "varies by MVA" (varia conforme a autoridade de verificação de marcas) e para "expect an annual fee" (esperar uma taxa anual). Peça um orçamento por escrito a pelo menos dois emissores da lista do BIMI Group.

Quem usa de verdade: 40 domínios checados

Consultamos default._bimi e _dmarc de 40 grandes marcas de consumo e B2B com dig em 1 de outubro de 2026.

Resultado	Domínios
Registro BIMI com certificado (a= preenchido)	18
Registro BIMI sem certificado (autodeclarado)	5
Sem registro BIMI	17

O detalhe é mais útil que os totais:

• Todo domínio com registro BIMI também tinha DMARC em quarantine ou reject. É um requisito, então era esperado, mas confirma a ordem: o enforcement veio primeiro.
• A maioria dos domínios sem BIMI também está em enforcement. Google, Yahoo, Microsoft, Stripe, Nike, Walmart, Target e outros publicam p=reject e nenhum registro BIMI. Eles se qualificam e escolheram não usar, o que vale lembrar antes de tratar o BIMI como essencial.
• Todos os bancos e empresas de pagamento da amostra tinham certificado. Bank of America, Chase, Wells Fargo, American Express e PayPal publicavam um registro BIMI com a=. Para eles o risco de phishing é o mais alto, e é aí que um logo verificado provavelmente compensa a taxa.
• Algumas grandes marcas se autodeclaram. Spotify, Salesforce e Mailchimp publicam um logo sem certificado, então o Gmail não mostra nada para elas, enquanto o Yahoo pode mostrar.
• Três domínios retornaram um registro TXT que não era BIMI para default._bimi (uma string SPF, por exemplo) porque o DNS deles tem um curinga. Se você checar seu próprio domínio e vir algo estranho, provavelmente é isso. Não é um registro BIMI.

Quarenta domínios são uma amostra, não um censo. Uma amostra maior está no nosso estudo de adoção do BIMI.

Como configurar

1. Chegue ao DMARC em enforcement no seu domínio organizacional, e em qualquer subdomínio de onde você envia, com pct=100 (ou sem pct). Confira com o nosso verificador de DMARC.
2. Prepare o SVG. O Google observa que "there are no applications to create an SVG file that meets all BIMI requirements" (não há aplicativos que criem um arquivo SVG que atenda a todos os requisitos do BIMI) e que os arquivos costumam precisar de edição manual. Exporte da sua ferramenta de design e depois defina version="1.2" e baseProfile="tiny-ps" no elemento raiz, remova ali os atributos x= e y=, adicione um <title> e tire tudo o que for externo. Coloque o logo sobre um fundo quadrado sólido. O BIMI Group publica ferramentas de conversão e verificação.
3. Obtenha o certificado (VMC ou CMC). O emissor valida sua organização e seu direito à marca e devolve um arquivo PEM. Seu SVG fica incorporado no certificado, então o logo que você hospeda precisa ser igual a ele.
4. Hospede os dois arquivos via HTTPS em URLs estáveis. Confira se o SVG é servido como image/svg+xml.
5. Publique o registro TXT em default._bimi.seudominio.
6. Envie para contas de teste do Gmail e do Yahoo e confira. A exibição fica a critério de cada provedor. O próprio FAQ do BIMI Group observa que "Each participating mailbox provider has their own criteria" (cada provedor participante tem seus próprios critérios), e a reputação pesa, então uma configuração correta pode não mostrar o logo de imediato.

Vale a pena? Uma tabela de decisão

Sua situação	Nossa opinião
DMARC ainda em p=none	Ainda não. Coloque o esforço em chegar ao enforcement, que protege seu domínio com ou sem logo
Em enforcement, marca registrada, marca de consumo que costuma ser falsificada	Sim. Um VMC com o selo do Gmail é a versão mais forte, e os alvos de phishing são os que mais ganham
Em enforcement, sem marca registrada, logo no seu site há 12 meses ou mais e arquivado	Razoável, via CMC, se o seu público está principalmente no Gmail e reconhece seu logo
Em enforcement, enviando principalmente e-mail B2B individual ou cold e-mail	Prioridade baixa. Os destinatários julgam o nome do remetente e a mensagem, e a taxa de um CMC compra pouco
Domínio ou logo totalmente novo	Espere. Um CMC precisa de 12 meses de histórico arquivado

O resumo honesto do próprio FAQ do BIMI Group é que o BIMI "does not change message delivery" (não muda a entrega das mensagens). É um sinal visual. O valor real de um projeto de BIMI é que ele obriga você a chegar ao DMARC em enforcement, a parte que de fato impede alguém de enviar e-mail se passando por você. Veja onde você está com a nossa auditoria de entregabilidade gratuita.