BIMI: qué es y para qué sirve

Siguiendo con el aeropuerto: BIMI es el logotipo de tu compañía en la pantalla de la puerta de embarque. Aparece al final, cuando todo lo anterior está en regla. Nunca antes.

Qué hace falta para que se vea tu logo

Son cuatro cosas, y las cuatro tienen que estar. No hay atajo:

1. Autenticación completa. Registro SPF y DKIM correctos y alineados.
2. DMARC en modo de aplicación, es decir en p=quarantine o p=reject. Con p=none no vale.
3. El logotipo en formato SVG Tiny P/S, que es una variante concreta de SVG con reglas propias. Un SVG cualquiera no sirve.
4. Un certificado que acredite que ese logo es tuyo.

El punto 2 es el que frena a casi todo el mundo, y no es casualidad: BIMI existe precisamente porque el dominio ya está protegido. Mostrar un logotipo junto a un correo que cualquiera puede falsificar sería regalarle credibilidad a quien te suplanta.

VMC y CMC: la diferencia que casi nadie cuenta bien

Aquí es donde se equivoca la mayoría de las guías, incluidas algunas de las que más se leen en español. Lo que suelen decir es que hace falta un VMC y punto. Hay dos certificados distintos y no sirven para lo mismo.

Y un matiz que sorprende a mucha gente: para el VMC no cuenta la antigüedad del logo, cuenta el registro. Puedes llevar quince años usando el tuyo y no poder sacar un VMC si nunca lo registraste. Para eso está el CMC, que valora justo lo contrario: el uso demostrable a lo largo del tiempo.

Qué aspecto tiene el registro

Es un registro TXT, y no va en el dominio a secas sino en un subdominio con este nombre:

default._bimi.tudominio.com

Y dentro lleva dos direcciones: la del logotipo y la del certificado.

v=BIMI1; l=https://tudominio.com/logo.svg; a=https://tudominio.com/certificado.pem

Por qué falla la mayoría de los BIMI

Un estudio de Validity de 2025 analizó los dominios que habían intentado montar BIMI y encontró algo llamativo: el 84,36% de los errores eran de formato inválido en el DNS, y un 15,31% más venían de la etiqueta a mal puesta, casi siempre porque el certificado no estaba servido por HTTPS.

Dicho de otra forma: la inmensa mayoría de los BIMI que no se ven no fallan por el concepto, fallan por el detalle. Un SVG que no cumple la variante exacta que pide la especificación, una ruta mal escrita, un certificado colgado donde no toca.

Y el mismo estudio señala los SVG mal preparados como la causa más común de que un montaje falle. Es la parte que parece más trivial —«es solo el logo»— y es donde se cae casi todo.

Qué gana un dominio con BIMI

Hay tres efectos y conviene no mezclarlos, porque no todos van por el mismo camino.

Uno, de confianza técnica. Un dominio con BIMI legítimo le está diciendo a Gmail, Yahoo y Apple que su identidad está verificada por una autoridad certificadora. Eso no es decorativo: es una señal más a favor en la reputación del dominio y del remitente, que es de donde sale tu colocación en bandeja.

Dos, de protección. Como BIMI obliga a tener DMARC en modo de aplicación, el dominio queda cerrado a la suplantación. Quien intente mandar una factura falsa con tu nombre se encuentra la puerta cerrada.

Y tres, de reconocimiento. Tu logo aparece en el listado, antes de que nadie abra nada, en una columna llena de círculos grises con iniciales. Según el estudio Consumer Interaction with Visual Brands in Email de Red Sift y Entrust, sobre más de mil adultos de Estados Unidos y Reino Unido, los correos con logotipo verificado obtienen un 21% más de aperturas.

Dos apuntes sobre ese número, porque prefiero que te fíes de mí a que te impresione una cifra: el estudio es de 2021 y es una encuesta a consumidores anglosajones, no una medición de campañas reales en español. Sirve para entender la dirección del efecto, no para prometer un porcentaje.

Lo que BIMI no hace

Con todo lo anterior, hay un matiz que cambia las expectativas: BIMI empuja, pero no rescata.

Si tu dominio hace las cosas bien —lista cuidada, autenticación en orden, envíos con criterio— BIMI suma, y suma en varios frentes a la vez. Si tus correos están yendo a spam, ponerles logotipo no los saca de ahí. Antes hay que arreglar lo que los está mandando allí.

Y llegar a BIMI obliga a arreglarlo de todas formas, porque no se puede montar sin tener SPF, DKIM y DMARC en su sitio. Por eso, cuando alguien me pide BIMI, lo primero no es el certificado: es ver cómo está el dominio por debajo.

Preguntas frecuentes

¿Necesito registrar mi logo como marca para tener BIMI?

Para el VMC sí, y sin registro no hay distintivo azul. Pero no es la única vía: el CMC permite mostrar el logotipo demostrando doce meses de uso público, sin registro de marca. La diferencia visible es el distintivo, no el logo.

¿Vale con tener DMARC en p=none?

No. BIMI exige DMARC en modo de aplicación, es decir p=quarantine o p=reject. Es el requisito que deja fuera a la mayoría, y por buenos motivos: no tendría sentido dar un distintivo de identidad a un dominio que cualquiera puede falsificar.

¿Sirve cualquier archivo SVG?

No. Tiene que ser SVG Tiny P/S, una variante con reglas propias: sin animaciones, sin scripts, sin elementos externos y con ciertos atributos obligatorios. Es la causa más común de que un BIMI bien planteado no llegue a verse.

¿Se ve en todos los clientes de correo?

No en todos ni igual. Gmail, Apple Mail y Yahoo son los que mejor lo soportan, y cada uno tiene sus condiciones. El distintivo azul de verificado es cosa de Gmail y solo con VMC.

¿BIMI mejora la entrega de mis correos?

Suma, pero no rescata. Un dominio con BIMI legítimo aporta una señal de identidad verificada que cuenta a favor en la reputación, y además obliga a tener DMARC en modo de aplicación, que es lo que de verdad protege. Ahora bien: si tus correos van a spam por una lista descuidada o por malas prácticas de envío, el logotipo no los saca de ahí. Empuja a quien ya lo está haciendo bien.