Base de conocimientos

Si bien el certificado de marca verificada (VMC) representa el máximo nivel de autenticación de marca, la norma BIMI también permite una implementación más básica mediante el uso de un logotipo no verificado. A menudo se habla de manera informal de «certificado de marca común» (CMC), aunque es más exacto describir esta configuración BIMI como «autodeclarada» o «no verificada», ya que no interviene ningún certificado oficial. Es útil comprender bien esta opción para planificar una implementación de BIMI por etapas.

¿Qué es un CMC y por qué es una etapa preliminar útil?

Un CMC, o más concretamente una implementación BIMI con un logotipo no verificado, consiste en publicar en tu DNS un registro BIMI que apunte al logotipo de tu marca, sin que un VMC verifique criptográficamente su autenticidad. En este caso, la marca se limita a afirmar por sí misma la propiedad del logotipo; no hay ninguna validación por parte de una autoridad de certificación de confianza externa, como DigiCert.

A pesar de sus limitaciones, este enfoque puede constituir un primer paso útil hacia la plena implementación del VMC, y ello por varias razones técnicas:

• Validación de la configuración de BIMI: esta función permite a tu equipo técnico configurar y publicar correctamente el registro DNS de BIMI, así como comprobar que no haya errores sintácticos, sin tener que esperar a que finalice el proceso de emisión del VMC.
• Comprobación de la conformidad del logotipo SVG: puedes comprobar que tu archivo de logotipo cumple con el formato SVG Tiny P/S estricto exigido por la norma BIMI y que se muestra correctamente.
• Comprobación de la conformidad con DMARC: se trata de una comprobación final destinada a garantizar que tu política de aplicación de DMARC (p=quarantine o p=reject) funciona correctamente y es respetada por los proveedores de correo electrónico, en combinación con un registro BIMI.

En esencia, esta etapa sirve como fase de preparación o prueba, lo que le permite ajustar todos los aspectos técnicos por su cuenta mientras lleva a cabo, en paralelo, los trámites más complejos de registro de la marca y adquisición del VMC.

Las limitaciones de la CMC frente a la VMC en lo que respecta a la confianza.

La diferencia en cuanto a la confianza entre un VMC y un logotipo no verificado no es insignificante, sino fundamental. Las limitaciones del enfoque no verificado son importantes:

• Ausencia de verificación por parte de un tercero: esta es la principal limitación. Un logotipo no verificado no aporta ninguna prueba criptográfica de que la organización que lo muestra sea realmente la propietaria legítima de dicha marca. Se trata de una simple declaración de buena fe que, por su propia naturaleza, tiene poco peso en un contexto de seguridad.
• Visualización inconsistente y degradada: al no existir una certificación de confianza, los proveedores de correo electrónico (MBP) tratan los logotipos no verificados de forma diferente. Aunque algunos puedan mostrar el logotipo, no le otorgarán la misma visibilidad que a uno certificado por el VMC. Por ejemplo, Gmail puede superponer al logotipo un avatar genérico (como un signo de interrogación dentro de un círculo gris) para indicar claramente al usuario que la identidad de la marca no ha sido verificada. Otros MBP pueden optar por no mostrar el logotipo en absoluto.
• Señal antiphishing menos eficaz: uno de los principales objetivos del BIMI es proporcionar una referencia visual clara y fiable para combatir el phishing. Un logotipo no verificado o que se muestre de forma inconsistente no permite alcanzar este objetivo de manera eficaz. Los usuarios informados podrían acabar desconfiando de los logotipos que se muestran sin un indicador de verificación claro, lo que reduciría el interés de esta implementación.
• Falta de credibilidad de la marca: un VMC demuestra el compromiso de una marca con los estándares más estrictos en materia de seguridad digital y autenticidad. Un logotipo no verificado no confiere ese mismo nivel de credibilidad y puede percibirse como una implementación parcial o incompleta.

En resumen, aunque técnicamente sea operativo para las pruebas, un logotipo no verificado no cumple las promesas fundamentales de BIMI: una confianza universalmente reconocida, una visibilidad coherente de la marca y una protección sólida contra la suplantación de identidad.

¿En qué casos es adecuado recurrir a un CMC?

Teniendo en cuenta sus limitaciones, la implementación de BIMI con un logotipo no verificado solo es adecuada en algunos casos concretos y temporales:

1. Como fase de preparación técnica: se trata del caso de uso más habitual y recomendado. Permite a los equipos de TI y de marketing preparar su infraestructura y sus recursos mientras se tramitan los procedimientos legales y administrativos relacionados con la adquisición de VMC.
2. Durante el proceso de registro de la marca: para las organizaciones que han implementado el protocolo DMARC pero que aún se encuentran inmersas en un proceso de registro de su marca que puede prolongarse varios meses, esto puede constituir una solución provisional.
3. Para fines de prueba y desarrollo interno: esta solución es ideal para su uso en entornos que no sean de producción, con el fin de probar los flujos de correo electrónico y la sintaxis de los registros BIMI sin necesidad de disponer de un certificado oficial.

Esto no debe considerarse en ningún caso una solución permanente ni un sustituto a largo plazo de un sistema de gestión de relaciones con los clientes (CRM) para cualquier marca que se comunique con el público y que desee sinceramente ganarse la confianza de sus clientes, garantizar la entrega de sus mensajes y proteger su identidad.

Procedimiento para instalar un logotipo sin VMC.

El procedimiento técnico para configurar BIMI con un logotipo no verificado es sencillo, siempre y cuando se cumpla el requisito principal.

1. Implementación de DMARC (requisito previo): este paso es idéntico al del proceso VMC y es obligatorio. La política DMARC de tu dominio debe estar configurada en p=quarantine o p=reject con pct=100. De lo contrario, BIMI no funcionará en ningún caso.
2. Prepara y aloja tu logotipo en formato SVG:
   • Convierte tu logotipo al formato SVG Tiny P/S (Portable/Secure). Se trata de un perfil restringido del formato SVG que prohíbe los scripts, los enlaces externos y cualquier otro elemento que pueda suponer un riesgo para la seguridad.
   • Asegúrate de que el archivo SVG esté alojado en un servidor accesible al público a través de HTTPS.

3. Publicar el registro DNS de BIMI:

• En el DNS de tu dominio, crea un nuevo registro TXT.
• El nombre de host del registro debe ser default._bimi.tudominio.com.
• El valor del registro contendrá dos etiquetas: la versión (v) y la ubicación del logotipo (l). Se omite la etiqueta a=, que remite al VMC.
• Ejemplo de registro: v=BIMI1; l=https://media.yourbrand.com/bimi-logo.svg;

4. Comprueba tu configuración:

• Utiliza una herramienta en línea para verificar registros BIMI y asegurarte de que tu registro DNS tiene el formato correcto y es accesible al público.
• Envía correos electrónicos de prueba a diferentes clientes que admitan BIMI (Gmail, Yahoo, etc.) para comprobar cómo se muestra el logotipo no verificado. Es posible que los resultados varíen y que aparezcan indicadores de «no verificado».

Si sigues estos pasos, podrás configurar con éxito un entorno de prueba para tu implementación de BIMI. Cuando estés listo para alcanzar un nivel óptimo de confianza y visibilidad, solo tendrás que adquirir tu VMC a través de un socio como BIMIMI y actualizar ese registro DNS para incluir la etiqueta a= que apunte a tu certificado.

La obtención de un certificado Verified Mark (VMC) es un proceso estructurado que combina requisitos técnicos con una rigurosa validación de la organización y la marca. Este enfoque metódico garantiza el máximo nivel de confianza e integridad para la identidad visual de su marca. Es fundamental seguir estos pasos de forma eficaz para aprovechar al máximo el potencial del BIMI.

Verificación de los requisitos de elegibilidad y los requisitos previos (DMARC, marca registrada, logotipo SVG).

Antes de presentar la solicitud de VMC, es fundamental llevar a cabo un análisis interno exhaustivo de los requisitos previos esenciales. Esta fase de prevalidación permite simplificar considerablemente la validación posterior por parte de la autoridad de certificación.

1. Aplicación de la norma DMARC:
   • Tu dominio o dominios de envío de correos electrónicos deben tener un registro DMARC publicado en el DNS.

• La política DMARC (p=) debe configurarse para poner en cuarentena o rechazar los mensajes.

• El porcentaje (pct=) debe ser igual a 100 (o omitirse; en ese caso, el valor predeterminado es 100).

• Todo el tráfico de correo electrónico legítimo procedente de su dominio debe superar la autenticación DMARC (SPF o DKIM con alineación) de forma fiable. Esto es esencial para evitar que los correos electrónicos legítimos sean puestos en cuarentena o rechazados una vez que se aplique la política.

2. Marca registrada:

• El logotipo de tu marca debe ser una marca registrada.

• La marca debe estar en vigor, ser válida y estar registrada en una oficina de propiedad intelectual (OPI) acreditada y reconocida por las autoridades de certificación (por ejemplo, la USPTO, la EUIPO, la UKIPO, IP Australia o la OPIC).

• Es fundamental que el logotipo en sí esté registrado como marca (una «marca denominativa» por sí sola no suele ser suficiente para la VMC). El logotipo que figure en su solicitud debe coincidir exactamente, desde el punto de vista visual, con la marca registrada.

3. Formato del logotipo SVG:

• Tu logotipo debe convertirse al formato SVG (Scalable Vector Graphics) específico y seguro, denominado SVG Tiny P/S (Portable/Secure).

• Este archivo SVG debe estar «limpio», es decir, libre de cualquier referencia externa, script o elemento interactivo que pueda suponer un riesgo para la seguridad.

• El formato debe ser cuadrado (1:1).

• El archivo SVG debe estar alojado en un servidor web accesible al público a través de HTTPS. La URL de este archivo SVG se incluirá en tu registro DNS BIMI.

BIMIMI ofrece servicios de evaluación previa para ayudarte a verificar estos requisitos previos, con el fin de garantizar que tu marca esté totalmente preparada para solicitar la certificación VMC.

Presentación de la solicitud y de la documentación justificativa necesaria.

Una vez cumplidos todos los requisitos previos, comienza la fase de solicitud. Esto implica facilitar información detallada y documentación justificativa a la autoridad de certificación (CA) o a través de un socio de confianza como BIMIMI.

1. Datos de contacto de la organización:

• Nombre legal completo de su organización.
• Sede social, datos de contacto y números de registro de la empresa.
• Datos de contacto del suscriptor de VMC (la persona autorizada para solicitar y gestionar el certificado).

2. Documentación relativa a las marcas:

• Prueba de que la marca se encuentra en proceso de registro, en la que figuren el número de registro, la fecha de registro y la oficina de propiedad intelectual que ha concedido el registro.
• Una imagen en alta resolución del logotipo registrado.

3. Verificación de la titularidad del dominio:

• Prueba que acredite el control sobre el dominio desde el que se envían los correos electrónicos para el que se solicita la VMC. Esto suele implicar la creación de un registro DNS de tipo TXT específico o la respuesta a un correo electrónico enviado a un contacto administrativo del dominio.

4. URL del logotipo en formato SVG:

• La URL HTTPS segura en la que se aloja tu archivo de logotipo SVG Tiny P/S conforme.

La plataforma de solicitud (por ejemplo, el portal de DigiCert o la interfaz simplificada de BIMIMI) le guiará a lo largo de todo el proceso de carga de estos documentos. La precisión y la exhaustividad son fundamentales para evitar cualquier retraso.

Validación por parte de la autoridad de certificación (DigiCert).

Se trata de la fase más crítica, durante la cual la autoridad de certificación (CA) verifica minuciosamente toda la información facilitada. En el caso de los certificados VMC, este proceso es similar a la validación de los certificados SSL de validación extendida (EV) e implica múltiples controles.

1. Validación de la organización (OV): La autoridad de certificación verificará la existencia legal, la identidad operativa y la dirección física de su organización. Esto puede implicar la consulta de registros mercantiles públicos y bases de datos, así como, en su caso, el contacto directo con su organización.
2. Verificación de la marca registrada: La autoridad de certificación (CA) se pondrá en contacto directamente con la oficina de propiedad intelectual (OPI) competente para comprobar que el registro de la marca sigue vigente y confirmar su titularidad. Se asegurará de que el logotipo facilitado se corresponde efectivamente con la marca registrada.
3. Validación del control del dominio: la autoridad de certificación comprueba que usted es efectivamente el propietario y que tiene el control de los dominios indicados.
4. Conformidad de los registros BIMI (opcional, pero recomendada): la autoridad de certificación también puede realizar comprobaciones para asegurarse de que tu política DMARC esté configurada en «enforcement» y de que la URL de tu logotipo SVG sea válida.
5. Emisión: Una vez que se hayan realizado y confirmado con éxito todas las validaciones, la autoridad de certificación emitirá su certificado de marca verificada. Este certificado contiene información criptográfica que vincula su organización, su dominio y su logotipo verificado.

Este proceso de validación puede durar desde unos días hasta varias semanas, dependiendo de la rapidez de respuesta de las distintas partes implicadas (las OPI, su organización) y de la complejidad de la verificación requerida.

Instalación de VMC: configuración del DNS e integración.

Una vez emitido tu VMC, los últimos pasos consisten en publicar los registros DNS necesarios para activar BIMI e integrar tu logotipo verificado.

1. Reciba su VMC: la autoridad de certificación (o BIMIMI en su nombre) le proporcionará el archivo VMC. Por lo general, se trata de una cadena de certificados codificada en formato PEM que deberá asociar a su DNS.
2. Publicar el registro BIMI TXT con VMC:
   • Deberás actualizar (o crear) tu registro BIMI TXT en el DNS de tu dominio.
   • El nombre de host sigue siendo default._bimi.tudominio.com.
   • A partir de ahora, el valor de la entrada incluirá la etiqueta «a=», que apunta a la URL HTTPS de tu archivo VMC (o de tu cadena de archivos).
   • Ejemplo de registro: v=BIMI1; l=https://media.yourbrand.com/bimi-logo.svg; a=https://media.yourbrand.com/yourbrand-vmc-chain.pem;
   • Asegúrate de que el logotipo SVG y los archivos de cadenas VMC estén alojados en un servidor web accesible al público a través de HTTPS.

3. Verificación y seguimiento:

• Una vez que se haya completado la propagación del DNS (lo cual puede tardar unas horas), utiliza validadores BIMI en línea para comprobar que tu registro es correcto y que apunta correctamente a tu archivo SVG y a tu archivo VMC.
• Envía correos electrónicos de prueba a los principales clientes de correo electrónico compatibles con BIMI (Gmail, Yahoo Mail, Apple Mail) para comprobar que tu logotipo certificado se muestra correctamente en la bandeja de entrada.
• Sigue supervisando tus informes DMARC para garantizar que la autenticación se realice correctamente, lo cual es esencial para la visualización de BIMI.

¿Por qué elegir BIMIMI para su sistema de ventilación mecánica controlada (VMC)? Experiencia, asistencia y sencillez.

Aunque técnicamente es posible obtener un certificado VMC directamente de una autoridad de certificación como DigiCert, la complejidad del proceso —que abarca el cumplimiento del protocolo DMARC, la validación de marcas registradas, el formato SVG y la gestión de las relaciones con la autoridad de certificación— suele plantear retos importantes a las organizaciones.

BIMIMI es el primer distribuidor y socio certificado de DigiCert a nivel mundial, diseñado específicamente para simplificar y facilitar la adquisición de certificados VMC para tu marca.

Elegir BIMIMI ofrece ventajas incomparables:

• Una experiencia sin igual: nuestro equipo está formado por especialistas con amplia experiencia en la autenticación de correos electrónicos y la seguridad de marca. Contamos con un profundo conocimiento técnico de las especificaciones DMARC, BIMI y SVG, así como de los requisitos de validación de las autoridades de certificación (CA).

• Un acompañamiento específico y personalizado: dispondrá de un interlocutor exclusivo que le guiará en cada paso, desde la verificación inicial de su elegibilidad hasta la configuración final del DNS. Identificamos de forma proactiva los posibles obstáculos y le ofrecemos soluciones especializadas, con el fin de evitar retrasos costosos y cualquier tipo de frustración.

• Proceso simplificado: Nos encargamos de la coordinación con DigiCert y gestionamos los trámites complejos relacionados con la comunicación y la documentación. Nuestra plataforma de solicitud a medida simplifica el envío de datos, garantizando así su exactitud y exhaustividad.

• Un camino hacia el éxito garantizado: nuestros rigurosos servicios de prevalidación garantizan que su DMARC esté listo, que la documentación relativa a la marca sea correcta y que su logotipo SVG cumpla todas las especificaciones técnicas antes de la presentación oficial, lo que aumenta considerablemente sus posibilidades de éxito.

• Optimización de la eficiencia: aprovechamos nuestra colaboración con DigiCert para agilizar la validación en la medida de lo posible, garantizando así una emisión rápida y eficaz de los certificados VMC sin comprometer la seguridad.

• Solución integral: desde la consulta inicial y los análisis de seguridad DMARC hasta la obtención de certificados VMC y el asesoramiento sobre la supervisión continua de BIMI, BIMIMI ofrece una gama completa de servicios.

• Ventaja competitiva: al asociarse con el mejor distribuidor del mundo, no solo protege eficazmente su VMC, sino que también se beneficia de una ventaja estratégica a la hora de implementar una solución de vanguardia en materia de seguridad del correo electrónico y confianza en la marca.

Mejora la imagen de tu marca con un logotipo certificado que inspire confianza. Elige BIMIMI como socio de confianza para disfrutar de un proceso de obtención del certificado VMC ágil y supervisado por expertos de DigiCert. Ponte en contacto con nosotros hoy mismo para proteger la identidad digital de tu marca.

Una vez establecido el papel fundamental que desempeñan DMARC, SPF y DKIM en la seguridad del correo electrónico, pasamos ahora a la máxima expresión de la autenticación visual de la marca: el Certificado de Marca Verificada (VMC). El VMC es la credencial digital que vincula formalmente su dominio de correo electrónico autenticado con el logotipo oficial y registrado de su marca, lo que permite su visualización en la bandeja de entrada del destinatario a través de BIMI.

¿Qué es un VMC y en qué se diferencia fundamentalmente de un CMC?

Un certificado de marca verificada (VMC) es un tipo específico de certificado digital que verifica públicamente la autenticidad y la titularidad del logotipo de una marca. Emitido por una autoridad de certificación (CA) de confianza, como DigiCert, un VMC vincula el logotipo de la marca registrada legítimamente de una organización a su dominio de envío de correo electrónico, garantizando que solo el propietario legítimo pueda mostrar ese logotipo en los buzones de correo compatibles con BIMA.

La diferencia fundamental entre un VMC y lo que a veces se denomina CMC (Certificado de marca común) —o, más exactamente, la simple exhibición de un logotipo no verificado— radica en el nivel de verificación y confianza.

• VMC (Certificado de marca verificada):
  • Alto nivel de garantía: Requiere una validación rigurosa por parte de una autoridad de certificación (CA), incluida la prueba de la titularidad de una marca registrada legalmente para el logotipo.
  • Ancla de confianza: proporciona una prueba verificada criptográficamente de que el logotipo pertenece al remitente, lo que ofrece el máximo nivel de confianza y seguridad.
  • Compatible con BIMI: imprescindible para mostrar el logotipo de una marca en los clientes de correo electrónico compatibles con VMC (por ejemplo, Gmail, Yahoo Mail, Apple Mail). Garantiza que el logotipo se vea claramente junto al correo electrónico del remitente.
  • Conformidad: Cumple plenamente con los requisitos más estrictos de la norma BIMI.

• CMC (Certificado de marca común) / Logotipo sin verificar:
  • Garantía baja o nula: este término se utiliza a menudo de manera informal para referirse a la exhibición de un logotipo sin la verificación formal de un VMC. Puede consistir simplemente en vincular un archivo SVG desde un registro DNS.
  • Confianza limitada: No ofrece ninguna prueba criptográfica de la propiedad o autenticidad del logotipo. El logotipo no ha sido validado formalmente por un tercero de confianza.
  • Visualización limitada: Su visualización en las bandejas de entrada es menos uniforme, ya que a menudo se limita a clientes específicos o requiere una autenticación más sencilla y menos segura. Carece de la «marca azul» visual universal que inspira confianza y que ofrece un VMC.
  • No conforme: No cumple todos los estrictos requisitos para la visualización universal de BIMI en todos los clientes de correo electrónico compatibles, especialmente en aquellos que exigen VMC para que el logotipo se vea con toda su claridad.

En esencia, un VMC transforma una simple imagen en un recurso de marca verificado legal y criptográficamente dentro del ecosistema del correo electrónico, una capacidad de la que carece por completo un logotipo no verificado.

¿Por qué el VMC es el «Santo Grial» de la autenticación visual?

El VMC se considera sin lugar a dudas el «Santo Grial» de la autenticación visual por varias razones de peso:

• Prueba irrefutable de la titularidad: ofrece una prueba inmutable y verificada por terceros de que su organización es la verdadera propietaria y tiene el derecho exclusivo de utilizar el logotipo mostrado. Este nivel de garantía no tiene parangón en la presentación digital de marcas.
• Lucha contra el fraude de identidad mediante deepfakes: en una era en la que la inteligencia artificial más sofisticada es capaz de generar elementos de marca falsos muy convincentes, el VMC constituye una medida de protección fundamental. No basta con que un atacante se limite a replicar tu logotipo; no podrá obtener un VMC para él sin ser titular de la marca registrada, lo que hace prácticamente imposible mostrar una falsificación verificada.
• Reconocimiento universal por parte de los clientes de correo electrónico: Los clientes de correo electrónico compatibles con BIMI (como Gmail, Yahoo y Apple Mail) han adoptado los VMC como estándar de referencia. Otorgan un espacio visual privilegiado a los logotipos respaldados por VMC, mostrando a menudo un indicador de «verificado», ya que confían en el proceso de validación subyacente. Esto garantiza una visualización amplia y coherente del logotipo.
• Mayor confianza y autoridad de marca: Para los destinatarios, un logotipo respaldado por un VMC es una señal clara e inequívoca de legitimidad. Infunde una profunda sensación de confianza, lo que distingue tus comunicaciones auténticas del ruido generalizado del spam y el phishing. Esto se traduce directamente en una mayor autoridad y credibilidad de la marca.
• Símbolo de madurez digital: la implementación de VMC significa que su marca se sitúa a la vanguardia de la seguridad digital y la protección de la marca, lo que demuestra su compromiso con la protección tanto de su identidad como de la de sus clientes. Esto posiciona a su organización como líder en integridad del correo electrónico.

Por estas razones, el VMC no es solo un componente de BIMI, sino el factor clave para garantizar una identidad visual fiable en la bandeja de entrada, un auténtico sello de autenticidad digital.

Las ventajas exclusivas de VMC: máxima confianza y reconocimiento inmediato.

Los beneficios que ofrece un VMC van mucho más allá de la simple visualización del logotipo, ya que aportan ventajas claras que mejoran la interacción con la marca:

• Máxima confianza y credibilidad: La principal ventaja es el profundo nivel de confianza que genera. Saber que un logotipo ha sido verificado por una autoridad de certificación independiente como DigiCert y que está vinculado a una marca registrada garantiza a los destinatarios que el correo electrónico es legítimo y que el remitente es quien dice ser. Esto reduce considerablemente el riesgo de phishing.
• Reconocimiento inmediato de la marca: en bandejas de entrada saturadas, el logotipo verificado permite un reconocimiento inmediato e inequívoco de la marca. Esta señal visual permite a los destinatarios identificar rápidamente los correos electrónicos de confianza, lo que mejora las tasas de apertura y fomenta una experiencia de usuario más eficaz y positiva.
• Mayor interacción y conversión: cuando los destinatarios confían en el remitente, son más propensos a abrir, leer e interactuar con el contenido del correo electrónico. Esta mayor confianza contribuye directamente a mejorar las tasas de clics y, en última instancia, a obtener mejores métricas de conversión en las campañas de marketing y las comunicaciones transaccionales.
• Una defensa más sólida contra el phishing: los VMC dificultan considerablemente que los phishers y los suplantadores de identidad puedan imitar visualmente tu marca. Un atacante no puede obtener un VMC para tu logotipo registrado, lo que significa que sus correos electrónicos fraudulentos se enviarán sin ningún logotipo o con un marcador de posición genérico, lo que facilita mucho a los destinatarios identificarlos como ilegítimos.
• Cumplimiento de las normas en constante evolución: A medida que las normas de seguridad del correo electrónico siguen madurando, los VMC se están convirtiendo en el estándar de referencia para la identidad de marca verificada. Adoptarlos desde el principio garantiza que su marca siga cumpliendo con la normativa y esté preparada para beneficiarse de futuras mejoras en la compatibilidad con los clientes de correo electrónico.
• Diferenciación competitiva: Al demostrar su compromiso con este alto nivel de seguridad del correo electrónico y de verificación de la marca, las organizaciones que cuentan con VMC obtienen una ventaja competitiva significativa, proyectando una imagen de profesionalidad y fiabilidad que las distingue de sus competidores menos seguros.

Estas ventajas exclusivas ponen de manifiesto por qué un VMC no es solo una mejora, sino una inversión estratégica en el futuro digital de su marca.

¿Cuáles son los requisitos para obtener un VMC? (Marca registrada, DMARC estricto, etc.).

Para obtener un VMC es necesario cumplir una serie de criterios estrictos, lo que garantiza el máximo nivel de validación y confianza. Estos requisitos han sido establecidos por las autoridades de certificación y el Grupo de Trabajo BIMI:

1. Aplicación estricta de DMARC: Tu dominio debe tener una política DMARC configurada con p=quarantine o p=reject y un valor pct=100 (o sin especificar pct). Este requisito es innegociable, ya que demuestra el compromiso total de tu dominio con la prevención del envío no autorizado de correos electrónicos.
2. Marca registrada válida: El logotipo de tu marca debe ser una marca registrada legalmente. Este registro debe estar activo y ser válido en las jurisdicciones en las que residen tus principales clientes o en las que tu empresa desarrolla una actividad significativa. El logotipo que aparezca en el VMC debe coincidir visualmente de forma exacta con la marca registrada.
3. Oficina de marcas autorizada: La marca debe estar registrada en una oficina de propiedad intelectual (OPI) reconocida por la autoridad certificadora (por ejemplo, USPTO, EUIPO, UKIPO, IP Australia, CIPO).
4. Formato SVG del logotipo: El archivo del logotipo debe estar en un formato SVG (Scalable Vector Graphics) específico y seguro. Este archivo SVG debe cumplir unas especificaciones técnicas precisas, entre las que se incluyen:
   • Se eliminan los scripts y las referencias externas para evitar vulnerabilidades de seguridad.
   • Que tenga una relación de aspecto cuadrada.
   • Estar alojado de forma segura a través de HTTPS en tu servidor web.

5. Verificación de la organización: La propia organización solicitante debe someterse a un riguroso proceso de validación, similar al que se aplica para los certificados SSL de validación de organización (OV) o de validación extendida (EV). De este modo se comprueba la existencia legal, la identidad operativa y la dirección física de la empresa.

6. Validación del control del dominio: También se requiere una prueba del control sobre el dominio para el que se solicita el VMC, normalmente mediante registros TXT del DNS o una validación por correo electrónico.

Cumplir estos requisitos previos es fundamental para que la solicitud de VMC sea aceptada. BIMIMI ofrece asesoramiento especializado y servicios de prevalidación para ayudarte a cumplir estos estrictos requisitos sin problemas.

¿Dónde puedes obtener tu VMC? BIMIMI, tu socio certificado de DigiCert.

La obtención de un certificado de marca verificada (VMC) es un proceso que exige precisión, experiencia y un profundo conocimiento tanto de las normas criptográficas como de la legislación en materia de marcas. No se trata de un trámite que se pueda realizar por cuenta propia; los VMC deben ser emitidos por una autoridad de certificación (CA) de confianza y reconocida públicamente.

DigiCert es una autoridad de certificación líder y reconocida a nivel mundial, y uno de los principales emisores de certificados VMC. Sus rigurosos procesos de validación garantizan los más altos estándares de confianza digital.

Sin embargo, gestionar la solicitud del VMC directamente con una entidad certificadora puede resultar complejo y llevar mucho tiempo, sobre todo teniendo en cuenta los estrictos requisitos técnicos y legales. Y es precisamente ahí donde BIMIMI destaca.

BIMIMI se enorgullece de ser socio certificado y preferente de DigiCert para la emisión de certificados VMC. Somos el distribuidor líder a nivel mundial porque simplificamos este complejo proceso para usted:

• Solicitud simplificada: Ofrecemos un proceso de solicitud guiado y paso a paso que elimina las complejidades de los requisitos de la CA.

• Revisión previa por expertos: Nuestros especialistas le ayudarán a revisar el cumplimiento de DMARC, el registro de la marca y el formato del logotipo SVG antes de su envío, lo que reducirá considerablemente los retrasos y el riesgo de rechazo.

• Asistencia personalizada: Disfrutarás de la asistencia personalizada de nuestro equipo de expertos en BIMI, que estará a tu disposición para responder a todas tus preguntas y ayudarte a superar cualquier dificultad que surja a lo largo del proceso.

• Precios competitivos: Como socio estratégico de gran volumen, BIMIMI puede ofrecerle una excelente relación calidad-precio y precios competitivos para su DigiCert VMC.

• Soluciones integrales: desde la evaluación inicial hasta la emisión del certificado VMC y el asesoramiento continuo para la implementación de BIMI, BIMIMI ofrece un servicio integral que garantiza una puesta en marcha fluida y satisfactoria.

No afronte en solitario las complejidades de la adquisición de un VMC. Asóciese con BIMIMI, el proveedor más fiable y con mayor experiencia del sector, para garantizar la identidad visual de su marca con un VMC de DigiCert y aprovechar todo el potencial de BIMI. Póngase en contacto con nosotros hoy mismo para iniciar su camino hacia una confianza y un reconocimiento sin igual en el correo electrónico.

Mientras que el protocolo SPF verifica la identidad del remitente a partir de su dirección IP, el protocolo DKIM (DomainKeys Identified Mail) ofrece un método criptográfico que permite verificar la integridad y el origen del propio contenido del correo electrónico. Actúa como una firma digital, garantizando a los destinatarios que un correo electrónico procede efectivamente del remitente indicado y que no ha sido alterado durante su transmisión. Asociado al protocolo SPF, el protocolo DKIM constituye la base sobre la que se asientan el DMARC y, por extensión, el BIMI, para una autenticación sólida de los correos electrónicos.

¿Qué es DKIM y cómo me permite autenticar mis mensajes?

El DKIM (DomainKeys Identified Mail) es un estándar de autenticación de correo electrónico que utiliza criptografía de clave pública para permitir que una organización firme digitalmente sus mensajes de correo electrónico salientes. A continuación, los servidores de correo electrónico de destino verifican esta firma.

Cómo se autentifican tus mensajes:

1. Generación de un par de claves: el dominio emisor genera un par de claves criptográficas: una clave privada y una clave pública.
   • El servidor emisor mantiene en secreto la clave privada, que se utiliza para generar la firma digital de cada correo electrónico enviado.
   • La clave pública se publica en los registros DNS del remitente, lo que la hace accesible para cualquier servidor de correo electrónico destinatario.

2. Firma de los correos electrónicos: cuando se envía un correo electrónico, el servidor de correo del remitente utiliza su clave privada para crear un hash criptográfico único (la firma DKIM) a partir de determinadas partes específicas del correo electrónico (por ejemplo, los campos de encabezado como «De», «Asunto», «Fecha» y, a menudo, el cuerpo del mensaje). A continuación, esta firma se inserta en el encabezado del correo electrónico, normalmente en forma de un campo «DKIM-Signature».

3. Verificación de la firma: en cuanto recibe el correo electrónico, el servidor de correo del destinatario extrae el dominio del remitente y un «selector» (identificador único de la clave pública en cuestión) del encabezado DKIM-Signature. A continuación, consulta el DNS del remitente para obtener la clave pública asociada a ese dominio y a ese selector.

4. Descifrado y comparación: el destinatario utiliza la clave pública obtenida para descifrar la firma digital y volver a calcular el valor hash de las partes pertinentes del correo electrónico. Si el valor hash recalculado coincide con el que figura en la firma, se valida la autenticación DKIM. Esto confirma dos elementos esenciales:

• Este correo electrónico ha sido enviado efectivamente por un servidor autorizado que posee la clave privada del dominio de origen.
• Las partes firmadas del correo electrónico no han sido modificadas desde que se estampó la firma.

Este proceso ofrece una garantía sólida sobre la integridad del mensaje y la autenticidad del remitente, completando así la verificación basada en la dirección IP del protocolo SPF.

Implementación de DKIM: pasos técnicos y buenas prácticas.

La implementación de DKIM es más compleja que la de SPF y requiere una coordinación entre la gestión del DNS y la configuración del servidor de correo.

1. Generar claves DKIM:
   • La mayoría de los proveedores de servicios de correo electrónico (ESP) o de software de servidor de correo (por ejemplo, Postfix o Exchange con herramientas de terceros) ofrecen funciones que permiten generar pares de claves DKIM. Por lo general, se le proporcionará una clave pública, que suele presentarse en forma de una larga cadena de caracteres.
   • También se elige un selector (por ejemplo, s1, default, k1). Se trata de un identificador único que sirve para distinguir varias claves DKIM para un mismo dominio, lo que permite rotar las claves sin interrumpir el servicio.

2. Publicar la clave pública en el DNS:

• Crea un registro TXT en el DNS de tu dominio. El nombre de host de este registro debe seguir el siguiente formato: selector._domainkey.tudominio.com (por ejemplo, s1._domainkey.example.com).
• El valor de este registro TXT corresponderá a la clave pública, que suele comenzar por v=DKIM1; p=… (donde p= corresponde a tu clave pública). Algunos proveedores pueden utilizar la etiqueta k=rsa para especificar el algoritmo.

3. Configurar el servidor de correo saliente/ESP:

• Configura tu servidor de correo electrónico o tu proveedor de servicios de correo electrónico (ESP) para que firme todos los correos electrónicos salientes con tu clave privada, utilizando el selector especificado y firmando los encabezados correspondientes. Este paso es fundamental y suele implicar la activación de la función de firma DKIM en la configuración de tu plataforma de correo electrónico.
• Asegúrese de que la etiqueta «d=» (dominio de firma) de la firma DKIM de los correos electrónicos salientes coincida con el dominio de su organización para garantizar el cumplimiento de DMARC.

4. Verificación y ensayos:

• Una vez publicado el registro DNS y configurado tu remitente, envía un correo electrónico de prueba a un servicio que ofrezca verificación DKIM (por ejemplo, un correo electrónico de diagnóstico procedente de una plataforma de análisis DMARC, o simplemente un correo electrónico enviado a una dirección de Gmail cuyos detalles podrás comprobar haciendo clic en «Ver original»).
• Comprueba que el encabezado DKIM-Signature esté presente y que la firma sea válida.

5. Rotación de las llaves:

• Para reforzar la seguridad, se recomienda renovar periódicamente (por ejemplo, una vez al año) las claves DKIM. Esto implica generar un nuevo par de claves, publicar la nueva clave pública con un nuevo selector en el DNS, actualizar tu remitente para que utilice la nueva clave, realizar una verificación y, a continuación, desactivar la clave antigua y eliminar su registro público.

Buenas prácticas:

• Campos esenciales: asegúrate de que los campos «De», «Asunto», «Fecha» y «Para» estén siempre incluidos en la firma DKIM.

• Respetar la coincidencia del campo «d=»: en el caso de DMARC, el campo «d=» (dominio firmante) de la firma DKIM debe coincidir con el dominio del encabezado «From:» visible, tanto en modo estricto como en modo flexible.

• Subdominios independientes: si utiliza subdominios con fines de envío distintos, considere la posibilidad de utilizar claves DKIM específicas para cada uno de ellos, con el fin de aislar cualquier posible vulneración de seguridad.

 

DKIM y la capacidad de entrega: una relación directa

El protocolo DKIM tiene un impacto profundo y directo en la capacidad de entrega del correo electrónico, ya que constituye un indicador de confianza esencial para los proveedores de servicios de correo electrónico (PSCE).

• Una señal de confianza para los MBP: cuando llega un correo electrónico con una firma DKIM válida, esto indica al servidor destinatario que el contenido del mensaje es auténtico y no ha sido modificado, y que procede de una fuente verificada. Esto refuerza considerablemente la credibilidad del correo electrónico ante los filtros antispam del MBP.

• Reducción del número de mensajes clasificados como spam: los correos electrónicos que no superan la prueba DKIM o que no incluyen una firma DKIM tienen muchas más probabilidades de ser marcados como spam o intentos de phishing. Sin esta prueba criptográfica de origen e integridad, los proveedores de correo electrónico tienen menos motivos para confiar en el mensaje, incluso si la prueba SPF se supera. Una firma DKIM válida permite que los correos electrónicos legítimos eludan estos filtros.

• Mejora de la reputación: una autenticación DKIM coherente y eficaz contribuye positivamente a la reputación del remitente de tu dominio. Con el tiempo, esta reputación se traduce en una mejor entrega de tus correos electrónicos en la bandeja de entrada. Por el contrario, una configuración DKIM defectuosa o inexistente puede perjudicar gravemente tu reputación, lo que provocaría un deterioro general de la capacidad de entrega.

• Activación de la aplicación de DMARC: DKIM es uno de los principales métodos de autenticación validados por DMARC. Para BIMI, es obligatorio implementar correctamente DMARC con una política p=quarantine o p=reject. El papel de DKIM en el cumplimiento de los requisitos de alineación de DMARC lo hace indispensable para garantizar una excelente capacidad de entrega en el contexto de la aplicación de DMARC y, por lo tanto, para aprovechar al máximo las ventajas de BIMI en materia de confianza visual.

En resumen, una configuración DKIM bien implementada y gestionada no es solo un trámite técnico; es un elemento esencial de tu estrategia de entregabilidad del correo electrónico, que determina directamente si tus mensajes llegan a la bandeja de entrada de sus destinatarios y que contribuye a reforzar la confianza en tu marca.

La implementación eficaz de BIMI se basa en una política de autenticación de correos electrónicos sólida y aplicada de forma rigurosa. El mecanismo que garantiza esta aplicación es DMARC (Domain-based Message Authentication, Reporting, and Conformance), una especificación técnica definida en el RFC 7489 de la IETF. DMARC no es un nuevo método de autenticación, sino más bien una capa de políticas y generación de informes que aprovecha los resultados de SPF (RFC 7208) y DKIM (RFC 6376) para ofrecer protección a nivel de dominio contra la suplantación de identidad.

¿Qué es DMARC y cuál es su papel fundamental en la seguridad del correo electrónico?

DMARC permite al propietario de un dominio publicar, en sus registros DNS, una política que especifica cómo deben tratar los servidores de correo destinatarios los mensajes electrónicos que no superan los controles de autenticación. Su función principal es subsanar las deficiencias de los protocolos SPF y DKIM. Mientras que SPF valida la dirección IP del servidor remitente y DKIM verifica la integridad del mensaje mediante una firma criptográfica, ninguno de estos protocolos impide por sí solo la suplantación de la dirección «De:» visible para el usuario.

DMARC resuelve este problema introduciendo el concepto de «alineación de identificadores». Un correo electrónico solo se considera «conforme a DMARC» si supera las verificaciones SPF o DKIM y si el dominio utilizado en dichas verificaciones coincide con el dominio que figura en el encabezado «De:». Esta alineación es el eslabón esencial que garantiza que la identidad autenticada se corresponde con la identidad visible del remitente, lo que convierte a DMARC en el medio de control definitivo contra la suplantación directa de dominio y el phishing. Para BIMI, una política DMARC en vigor (cuarentena o rechazo) constituye la prueba irrefutable de que el propietario del dominio ha protegido su canal.

Funcionamiento de DMARC: alineación, políticas y etiquetas.

El servidor de correo electrónico destinatario aplica la lógica DMARC basándose en las etiquetas publicadas en el registro DNS DMARC del remitente.

• Alineación de identificadores: se trata del mecanismo de validación principal.
  • Alineación SPF: compara el dominio que aparece en el comando MAIL FROM (también denominado «Return-Path» o «envelope-from») con el que figura en el encabezado From:.
  • Verificación DKIM: compara el dominio indicado en la etiqueta «d=» de la firma DKIM con el dominio que aparece en el encabezado «From:».
  • Modos (Estricto frente a Flexible): La alineación se puede definir según uno de los dos modos mediante las etiquetas «aspf» y «adkim» en el registro DMARC:
    • Estrictivo: requiere una coincidencia exacta del dominio. Para el SPF, mail.example.com no coincidirá con example.com.
    • Flexible (r): los dominios organizativos deben coincidir. mail.example.com coincidirá con example.com. El parámetro «Flexible» es el predeterminado y el más habitual.

• Políticas y modificadores: estas etiquetas indican al destinatario cómo debe actuar.
  • p= (Política): instrucción principal para el dominio raíz.
    • p=none: Modo «supervisión». No interviene en caso de fallo en la transmisión de los correos electrónicos, pero recopila datos y envía informes. Imprescindible durante la fase inicial de implementación.
    • p = cuarentena: envía los correos electrónicos que no se pueden entregar a una ubicación distinta de la bandeja de entrada (normalmente, la carpeta de correo no deseado).
    • p=reject: indica al destinatario que rechace sin más la entrega de los mensajes que no se puedan entregar. Se trata del objetivo final, que ofrece la máxima protección.

• sp= (Política de subdominios): aplica la política seleccionada a todos los subdominios que no cuenten con su propio registro DMARC explícito. Esto es fundamental para evitar que los piratas informáticos se aprovechen de los subdominios desprotegidos (por ejemplo, promo.votremarque.com).
• pct= (porcentaje): una etiqueta esencial para las implementaciones progresivas. pct=10 significa que la política de cuarentena o rechazo solo se aplicará al 10 % de los mensajes rechazados, lo que permite a los administradores probar de forma segura el impacto de su política antes de implementarla por completo.

Informes DMARC: cómo entender los datos y sacarle partido.

DMARC ofrece dos mecanismos de generación de informes muy útiles, definidos por las etiquetas rua y ruf.

• Informes agregados (RUA): se trata de archivos XML que se envían periódicamente (normalmente a diario) a la dirección indicada en la etiqueta «rua». Contienen datos generales sobre todos los mensajes que afirman proceder de su dominio, en particular:
  • La dirección IP de origen (<source_ip>).
  • El número de mensajes procedentes de esta fuente (<count>).
  • La directiva DMARC (<directiva>).
  • Los resultados de las verificaciones SPF y DKIM, incluidos los dominios utilizados y si han cumplido los criterios de alineación (<policy_evaluated>). Estos informes son imprescindibles para elaborar un inventario completo de todos los servicios, legítimos o no, que envían correos electrónicos en tu nombre.

• Informes de análisis (RUF): se trata de copias editadas y en tiempo real de correos electrónicos individuales que no han superado la validación DMARC, enviadas a la dirección indicada en la etiqueta ruf. Estos informes están en formato AFRF (Authentication Failure Reporting Format) y se utilizan principalmente para el análisis de investigación destinado a investigar campañas específicas de suplantación de identidad o a resolver problemas complejos relacionados con la autenticación. Debido a su volumen y a sus posibles implicaciones en materia de confidencialidad, se utilizan con menos frecuencia que los informes agregados.

La aplicación de medidas basadas en los datos es un proceso sistemático: utilice los informes de RUA para identificar todas las fuentes de envío. Para cada fuente legítima, asegúrese de que sus correos electrónicos estén correctamente firmados con DKIM y/o se envíen desde una dirección IP incluida en su registro SPF, con el fin de garantizar el pleno cumplimiento. Cualquier fuente que no pueda cumplir con los requisitos debe desactivarse.

¿Cómo configurar un registro DMARC? Guía técnica.

Es fundamental adoptar un enfoque gradual y basado en datos para evitar bloquear el tráfico de correo electrónico legítimo.

1. Auditoría previa: antes de crear un registro DMARC, realice una auditoría exhaustiva de sus registros SPF y de sus prácticas de firma DKIM. Asegúrese de que todos los remitentes externos conocidos (por ejemplo, plataformas de marketing, servicios de correo transaccional, sistemas de RR. HH.) estén correctamente configurados.
2. Configuración inicial (supervisión): publica un registro TXT en _dmarc.tudominio.com con una política no restrictiva para empezar a recopilar datos.
   • Ejemplo de registro: v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; adkim=r; aspf=r;
     • Esta configuración establece una política de supervisión para el 100 % de los mensajes, solicita informes agregados y análisis detallados, y configura ambos modos de alineación en «flexible».

3. Análisis y corrección: durante varias semanas o meses, analiza los informes RUA con una herramienta de análisis DMARC. El objetivo es identificar y resolver los problemas de autenticación y alineación de todos los servicios de envío legítimos hasta que tus informes indiquen un cumplimiento de DMARC cercano al 100 % para el tráfico conocido.

4. Implementación gradual: refuerza tu nivel de seguridad de forma gradual.

• Sustituye «p» por «cuarentena» y «pct» por «5» para empezar a poner en cuarentena una pequeña parte de los correos electrónicos que no cumplen los requisitos.
• Aumente gradualmente el porcentaje (25 %, 50 %, etc.) hasta llegar al 100 %, asegurándose de que ningún correo legítimo se vea afectado.
• Repita el proceso para p=rechazo, comenzando con p=rechazo; pct=5; y aumentando progresivamente hasta p=rechazo; pct=100; para una aplicación estricta.

¿Cumple mi dominio con la norma DMARC? Herramientas de verificación.

En el marco de BIMI, un dominio se considera «conforme con DMARC» cuando su política está definida como p=quarantine o p=reject con pct=100 (o, si se omite el parámetro pct, el valor por defecto es 100).

Existen diversas herramientas en línea que permiten consultar los registros DMARC. Una herramienta de verificación completa debe:

• Comprueba si hay un registro TXT en el subdominio _dmarc.
• Comprobar la sintaxis del registro DMARC y notificar cualquier error.
• Comprueba que se pueda acceder a los buzones que figuran en las etiquetas rua/ruf.
• Mostrar la estrategia actual, el porcentaje y los parámetros de alineación.

Aunque estas herramientas permiten verificar el cumplimiento de su política publicada, el verdadero cumplimiento se basa en los datos subyacentes que demuestran que sus correos electrónicos legítimos superan la autenticación. Como parte de nuestro proceso de emisión de certificados VMC, BIMIMI ofrece un análisis de su postura DMARC realizado por expertos, garantizando así que su configuración no solo sea sintácticamente correcta, sino que también esté lista desde el punto de vista operativo para una implementación de BIMI exitosa y segura.

Aunque SPF, DKIM y DMARC son protocolos de autenticación de correo electrónico independientes, su verdadero potencial —y el requisito previo para la implementación de BIMI— reside en su funcionamiento sinérgico. Forman un sistema de defensa integrado que verifica la identidad del remitente, la integridad del mensaje y el cumplimiento de las políticas, lo que da como resultado la confianza visual que ofrece BIMI. Tomados individualmente, cada protocolo aporta una capa de seguridad; juntos, establecen un estándar impenetrable en materia de autenticidad de los correos electrónicos.

Esquema explicativo del proceso combinado.

Para ilustrar su proceso combinado, tomemos como ejemplo la siguiente secuencia simplificada de pasos que tienen lugar cuando se envía y se recibe un correo electrónico:

1. Envío de correos electrónicos: se envía un correo electrónico desde [email protected] a través de un servidor de correo legítimo.
   • El servidor remitente añade una firma DKIM (utilizando su clave privada) al encabezado del correo electrónico, firmando así determinadas partes específicas del mensaje.
   • Se ha definido la dirección MAIL FROM (remitente del sobre); esta es verificada por el protocolo SPF.

2. Recepción por parte del proveedor de buzón de correo (MBP): el servidor de correo receptor procesa el correo electrónico entrante.

3. Comprobación del índice SPF:

• El MBP extrae el dominio MAIL FROM (por ejemplo, tu marca.com).
• Consulta el DNS para obtener el registro SPF de yourbrand.com.
• Comprueba si la dirección IP del servidor remitente está autorizada en el registro SPF.
• Resultado: SPF (aprobado/suspenso).

4. Verificación DKIM:

• El MBP extrae la firma DKIM y el selector del encabezado del correo electrónico.
• Consulta el DNS para obtener la clave pública (en la dirección selector._domainkey.yourbrand.com).
• Utiliza la clave pública para verificar la firma DKIM.
• Resultado: DKIM correcto/fallido.

5. Evaluación de DMARC:

• El MBP comprueba si existe un registro DMARC para tu-marca.com.
• Conformidad con DMARC: esta comprobación permite garantizar que el dominio que aparece en el encabezado «From:» visible (tusmarca.com) coincide con el dominio autenticado por SPF (dominio «MAIL FROM») y/o DKIM (dominio de la etiqueta «d=»).
• Cumplimiento de DMARC: si al menos uno de los protocolos SPF o DKIM es válido y se garantiza la alineación.
• Error de DMARC: si las verificaciones de SPF y DKIM fallan o no son coherentes.

6. Aplicación de la política DMARC:

• Si DMARC falla, el MBP consulta la política DMARC del dominio (p=none, p=quarantine, p=reject) para determinar cómo gestionar el correo electrónico (ponerlo en vigilancia, moverlo a la carpeta de spam o rechazarlo directamente).

7. Visualización de BIMI (bajo ciertas condiciones):

• SOLO si la prueba DMARC se supera con una política de aplicación (p=quarantine o p=reject) Y si el dominio cuenta con un registro TXT BIMI válido que apunte a un certificado de marca verificada (VMC) para el logotipo asociado, el cliente de correo mostrará el logotipo verificado de la marca en la bandeja de entrada.
• Si DMARC falla o si la política está configurada como «p=none», el logotipo no se mostrará.

Este complejo proceso garantiza que solo los correos electrónicos que estén autenticados y se ajusten a la identidad declarada del dominio puedan beneficiarse de la mayor confianza y visibilidad que ofrece BIMI.

¿Por qué es necesaria una alineación rigurosa para BIMI?

El concepto de alineación en el marco del protocolo DMARC no es una mera formalidad técnica; es la piedra angular de la confianza que hace posible directamente el BIMI. La alineación garantiza que el dominio que autentica el correo electrónico (a través del encabezado MAIL FROM de SPF o la etiqueta d= de DKIM) sea efectivamente el mismo que el destinatario ve en el encabezado «De:».

• Prevención del suplantación de identidad: si no se aplica la alineación, un pirata informático podría suplantar la dirección «De:» visible de tu-marca.com al tiempo que envía el mensaje a través de un dominio sin relación alguna (malicious.com) cuya autenticación es débil o incluso inexistente. Aunque malicious.com cumpla con sus propias reglas SPF/DKIM, el dominio «De:» visible no estaría protegido. La alineación evita esto al exigir que el dominio autenticado coincida con el remitente aparente.

• Garantizar la coherencia de la marca: en el marco del protocolo BIMI, el logotipo que se muestra está vinculado al dominio que figura en el encabezado «De:». Si un correo electrónico supera la autenticación pero falla en la alineación, significa que la identidad visual de la marca no está suficientemente protegida por la autenticación técnica. El protocolo BIMI exige explícitamente que la prueba DMARC se supere con alineación, precisamente porque vincula un elemento visual (tu logotipo) a la identidad verificada de tu marca.

• Confianza y capacidad de entrega: los clientes de correo electrónico y los proveedores de bandejas de entrada confían mucho en los correos electrónicos que cumplen con el estándar DMARC. Esto se traduce directamente en una mejor entrega en la bandeja de entrada y refuerza la reputación del remitente. BIMI aprovecha esta confianza consolidada mostrando el logotipo solo en los correos electrónicos que cumplen este estricto requisito, garantizando así que este signo visual de confianza se basa en una sólida seguridad subyacente.

Los estrictos requisitos de BIMI en cuanto a la aplicación de DMARC (con p=quarantine o p=reject) implican que las autenticaciones SPF o DKIM deben estar validadas y alineadas. Esto garantiza que el logotipo de la marca solo se asocie a las comunicaciones procedentes de tu dominio que hayan sido correctamente autenticadas y alineadas.

Riesgos derivados de la ausencia o de una configuración incorrecta de alguno de estos protocolos.

La ausencia o una configuración incorrecta de cualquiera de estos protocolos genera vulnerabilidades críticas y compromete gravemente la eficacia de los correos electrónicos, lo que impide la adopción de BIMI.

• SPF ausente o mal configurado:
  • Riesgo: esto permite a los piratas informáticos enviar fácilmente correos electrónicos «desde» tu dominio utilizando servidores no autorizados, lo que da lugar a una suplantación generalizada de la identidad de tu marca.

• Consecuencias para DMARC/BIMI: los correos electrónicos que no superen la prueba SPF fracasarán directamente en la prueba DMARC (si DKIM tampoco se supera o no coincide), o bien reducirán la tasa de éxito de DMARC, lo que imposibilitará el paso a una política de aplicación (p=reject) y provocará, por tanto, la exclusión del programa BIMI. La entregabilidad se verá afectada debido a la falta de validación del remitente.

• Falta el DKIM o está mal configurado:
  • Riesgo: permite a los piratas informáticos enviar correos electrónicos desde tu dominio con contenido modificado. Esto también expone a tu dominio a riesgos de suplantación de identidad si el protocolo SPF no está correctamente configurado y alineado.

• Consecuencias para DMARC/BIMI: al igual que con el SPF, una firma DKIM no válida puede provocar fallos en DMARC, lo que dificulta la implementación de DMARC. Muchos servicios de envío legítimos (en particular, los proveedores de servicios de correo electrónico de terceros) dependen en gran medida del protocolo DKIM para la autenticación. Sin él, sus correos electrónicos no superarán la prueba DMARC.

• DMARC ausente o mal configurado (o política p=none):
  • Riesgo: aunque los protocolos SPF y DKIM estén perfectamente configurados, si no se aplica activamente una política DMARC, los servidores receptores no disponen de instrucciones claras sobre cómo tratar los correos electrónicos que no cumplen con los requisitos. Los correos electrónicos fraudulentos que logran eludir los filtros SPF/DKIM (por ejemplo, debido a ligeros desfases) podrían acabar llegando a las bandejas de entrada. De este modo, se pierden valiosos datos de informes.

• Consecuencias para BIMI: BIMI no puede funcionar sin la implementación de DMARC con una política de aplicación (p=cuarentena o p=rechazo). Una política p=none significa que no se toma ninguna medida contra los correos electrónicos fraudulentos, lo que no ofrece la seguridad suficiente para un indicador visual de confianza como BIMI.

En resumen, SPF, DKIM y DMARC no son herramientas independientes, sino componentes interdependientes de un ecosistema sólido de autenticación del correo electrónico. Una falla en cualquiera de estos protocolos compromete todo el sistema, lo que impide la adopción de mecanismos de confianza avanzados como BIMI y expone a su marca y a sus destinatarios a ciberamenazas persistentes y en constante evolución. La creación de esta base sólida constituye el primer paso esencial para aprovechar al máximo el potencial de BIMI.

Para que DMARC pueda garantizar la autenticación de los correos electrónicos, es necesario implementar rigurosamente sus protocolos básicos: SPF y DKIM. El SPF (Sender Policy Framework) actúa como primer filtro, garantizando que los correos electrónicos que afirman proceder de tu dominio se envían efectivamente desde servidores que tú has autorizado explícitamente.

¿Qué es el factor de protección solar (FPS) y por qué es tan importante?

El SPF (Sender Policy Framework) es un método de autenticación de correos electrónicos diseñado para detectar la suplantación de identidad del remitente. Permite al propietario de un dominio publicar una lista de direcciones IP autorizadas para enviar correos electrónicos en nombre de dicho dominio. Cuando un servidor de correo electrónico receptor recibe un correo electrónico, realiza una verificación SPF: consulta el DNS para obtener el registro SPF del dominio del remitente y compara la dirección IP del servidor remitente con la lista de direcciones autorizadas.

¿Por qué es tan importante?

1. Lucha contra la suplantación de identidad: sin el SPF, cualquiera podría enviar un correo electrónico haciéndose pasar por tu dominio, una táctica conocida como «suplantación de identidad». Se trata de un elemento clave de los ataques de phishing. El SPF reduce considerablemente la tasa de éxito de estos ataques al ofrecer a los destinatarios un mecanismo que les permite verificar el origen legítimo de un correo electrónico.
2. Mejora de la capacidad de entrega: los proveedores de correo electrónico (MBP) aplican criterios cada vez más estrictos en materia de autenticación de correos electrónicos. Los correos electrónicos procedentes de dominios que no dispongan de un registro SPF válido (o cuyo registro esté mal configurado) corren un mayor riesgo de ser marcados como sospechosos, de ser redirigidos a las carpetas de correo no deseado o de ser rechazados sin más, lo que perjudica tu capacidad de entrega y la eficacia de tu comunicación.
3. Requisito previo para DMARC: el SPF es uno de los dos pilares en los que se sustenta DMARC. Para que un correo electrónico sea validado por DMARC, debe cumplir los requisitos del SPF o del DKIM y, sobre todo, garantizar la coherencia entre el dominio «MAIL FROM» y el dominio del encabezado «From:». Por lo tanto, un registro SPF fiable es indispensable para cualquier dominio que desee implementar DMARC y, posteriormente, BIMI.

¿Cómo se configura y se mantiene un registro SPF válido?

Un registro SPF se publica como un registro TXT en el DNS de tu dominio. Su configuración debe realizarse con precisión para que sea eficaz y no bloquee inadvertidamente los correos electrónicos legítimos.

1. Identificar todas las fuentes de envío: este es el primer paso, y el más importante. Elabora una lista exhaustiva de todos los servicios o servidores que envían correos electrónicos en nombre de tu dominio. Esto incluye:
   • Sus propios servidores de correo electrónico (por ejemplo, Exchange, Postfix).
   • Proveedores externos de servicios de correo electrónico (ESP) destinados al marketing (por ejemplo, Mailchimp, Salesforce Marketing Cloud).
   • Servicios de correo transaccional (por ejemplo, SendGrid, Mailgun).
   • Paquetes ofimáticos en línea (por ejemplo, Google Workspace, Microsoft 365).
   • Cualquier otra aplicación o servidor que envíe notificaciones desde tu dominio.

2. Crear el registro SPF:

• v=spf1: esta etiqueta es obligatoria e identifica el registro TXT como un registro SPF. Siempre debe ser el primer mecanismo.
• Mecanismos para remitentes autorizados:
  • ip4:192.0.2.1 o ip6:2001:db8::1: enumera explícitamente las direcciones IP autorizadas.
  • a: Autoriza la dirección o direcciones IP del registro A para el dominio actual.
  • mx: Permite la dirección o direcciones IP de los registros MX para el dominio actual.
  • incluir: spf.example.com: esta opción se utiliza a menudo para incluir los registros SPF de servicios de terceros. Debes incluir todos los servicios.
  • exists:example.com: un mecanismo menos habitual que comprueba si un dominio existe.

• Calificador (acción en caso de fallo): determina cómo deben tratar los servidores destinatarios los mensajes procedentes de fuentes no autorizadas. Precede al mecanismo.
  • + (Pass): autoriza explícitamente (valor predeterminado si no se especifica ningún calificador).
  • – (Fallo total): rechaza categóricamente los correos electrónicos procedentes de fuentes no registradas. Recomendado para la aplicación de DMARC.
  • ~ (Fallo flexible): el mensaje se marca como probablemente no legítimo, pero se acepta. A menudo se clasifica en la carpeta de «spam». No se recomienda para la aplicación de DMARC.
  • ? (Neutro): Considera que los correos electrónicos no son ni autorizados ni no autorizados. Prácticamente no ofrece protección alguna.

• -all: Se trata del calificador más importante del mecanismo «all» y, por lo general, debe aparecer en último lugar en tu registro. Define la política aplicable a cualquier remitente que no esté explícitamente cubierto por los mecanismos anteriores. El uso de -all (fallo definitivo) es esencial para la eficacia de DMARC, ya que ordena a los destinatarios rechazar los correos electrónicos no autorizados. ~all (fallo temporal) es una medida provisional destinada a una implementación prudente, pero ofrece una protección menos eficaz.
• Ejemplo de un registro SPF robusto: v=spf1 ip4:192.0.2.1 include:_spf.google.com include:spf.mailchimp.com -all (Esto autoriza una dirección IP específica, Google Workspace y Mailchimp, y rechaza explícitamente todas las demás).

3. Publicar en el DNS: añade esto como un registro TXT para tu dominio raíz (tudominio.com).

4. Mantenimiento: los registros SPF requieren un mantenimiento periódico.

• Cuando añadas nuevos remitentes: asegúrate de actualizar siempre tu registro SPF para incluir sus mecanismos de inclusión o sus respectivas direcciones IP.
• Para eliminar remitentes: elimina su dirección de correo electrónico o su dirección IP de tu registro SPF.
• Comprobación periódica: comprueba periódicamente que tu perfil SPF se ajusta a tu infraestructura de envío actual.

Errores comunes relacionados con el SPF y cómo evitarlos.

Los registros SPF mal configurados suelen ser la causa de problemas de entregabilidad y de fallos de DMARC.

1. «Demasiadas consultas» (máx. 10): se trata del error más habitual y más grave. La especificación SPF limita el número de consultas DNS (a, mx, ptr, exists, include) a un máximo de 10. Cada mecanismo «include» puede, a su vez, contener varias consultas. Superar este límite provocará el fallo de la validación SPF, lo que podría afectar a los correos electrónicos legítimos.
   • Prevención: agrupa los mecanismos de inclusión en la medida de lo posible. Utiliza directamente las direcciones IP (IPv4/IPv6) en lugar de los registros «a» o «mx» si las direcciones IP son estáticas. Utiliza con precaución las herramientas en línea de «SPF flattening», ya que incorporan directamente las direcciones IP, que pueden quedar obsoletas.

2. Registros SPF múltiples: un dominio solo debe tener un único registro TXT SPF. Si se detectan varios registros SPF, el servidor de destino suele ignorarlos todos, lo que dará lugar a un estado SPF «Neutro» o «Fallido», así como a un fallo de DMARC.

• Solución alternativa: agrupa todos los mecanismos procedentes de diferentes fuentes en un único registro v=spf1 … -all.

3. Sintaxis incorrecta: simples errores tipográficos, espacios que faltan o calificativos incorrectos pueden invalidar todo el registro.

• Prevención: utilice herramientas de validación SPF en línea después de cada modificación. Compruebe minuciosamente todos los mecanismos y su orden.

4. Ausencia del mecanismo «all»: un registro SPF que no incluya el mecanismo «all» (-all, ~all o ?all) implica que cualquier dirección IP que no se mencione explícitamente se considera neutra, lo que prácticamente no ofrece ninguna protección.

• Precaución: asegúrate de incluir siempre un mecanismo «all» como última entrada. Para la aplicación de DMARC, utiliza «-all».

5. Olvidarse de actualizar: las nuevas plataformas de marketing, los servicios de correo transaccional o incluso las migraciones a la nube pueden dar lugar a la aparición de nuevas direcciones IP o nuevos dominios de envío que deben añadirse.

• Prevención: Considere su registro SPF como un documento en constante evolución. Incorpore su gestión a sus procesos de control de cambios para la infraestructura de correo electrónico. Revise periódicamente los informes agregados de DMARC para identificar las fuentes de correos electrónicos que no cumplen con la política SPF.

Mantener un registro SPF preciso y conforme es un elemento fundamental para la seguridad del correo electrónico y un requisito previo esencial para la implementación satisfactoria de los protocolos DMARC y BIMI.

Mientras que el protocolo SPF verifica la identidad del remitente a partir de su dirección IP, el protocolo DKIM (DomainKeys Identified Mail) ofrece un método criptográfico que permite verificar la integridad y el origen del propio contenido del correo electrónico. Actúa como una firma digital, garantizando a los destinatarios que un correo electrónico procede efectivamente del remitente indicado y que no ha sido alterado durante su transmisión. Asociado al protocolo SPF, el protocolo DKIM constituye la base sobre la que se asientan el DMARC y, por extensión, el BIMI, para una autenticación sólida de los correos electrónicos.

¿Qué es DKIM y cómo me permite autenticar mis mensajes?

El DKIM (DomainKeys Identified Mail) es un estándar de autenticación de correo electrónico que utiliza criptografía de clave pública para permitir que una organización firme digitalmente sus mensajes de correo electrónico salientes. A continuación, los servidores de correo electrónico de destino verifican esta firma.

Cómo se autentifican tus mensajes:

1. Generación de un par de claves: el dominio emisor genera un par de claves criptográficas: una clave privada y una clave pública.
   • El servidor emisor mantiene en secreto la clave privada, que se utiliza para generar la firma digital de cada correo electrónico enviado.
   • La clave pública se publica en los registros DNS del remitente, lo que la hace accesible para cualquier servidor de correo electrónico destinatario.

2. Firma de los correos electrónicos: cuando se envía un correo electrónico, el servidor de correo del remitente utiliza su clave privada para crear un hash criptográfico único (la firma DKIM) a partir de determinadas partes específicas del correo electrónico (por ejemplo, los campos de encabezado como «De», «Asunto», «Fecha» y, a menudo, el cuerpo del mensaje). A continuación, esta firma se inserta en el encabezado del correo electrónico, normalmente en forma de un campo «DKIM-Signature».

3. Verificación de la firma: en cuanto recibe el correo electrónico, el servidor de correo del destinatario extrae el dominio del remitente y un «selector» (identificador único de la clave pública en cuestión) del encabezado DKIM-Signature. A continuación, consulta el DNS del remitente para obtener la clave pública asociada a ese dominio y a ese selector.

4. Descifrado y comparación: el destinatario utiliza la clave pública obtenida para descifrar la firma digital y volver a calcular el valor hash de las partes pertinentes del correo electrónico. Si el valor hash recalculado coincide con el que figura en la firma, se valida la autenticación DKIM. Esto confirma dos elementos esenciales:

• Este correo electrónico ha sido enviado efectivamente por un servidor autorizado que posee la clave privada del dominio de origen.
• Las partes firmadas del correo electrónico no han sido modificadas desde que se estampó la firma.

Este proceso ofrece una garantía sólida sobre la integridad del mensaje y la autenticidad del remitente, completando así la verificación basada en la dirección IP del protocolo SPF.

Implementación de DKIM: pasos técnicos y buenas prácticas.

La implementación de DKIM es más compleja que la de SPF y requiere una coordinación entre la gestión del DNS y la configuración del servidor de correo.

1. Generar claves DKIM:
   • La mayoría de los proveedores de servicios de correo electrónico (ESP) o de software de servidor de correo (por ejemplo, Postfix o Exchange con herramientas de terceros) ofrecen funciones que permiten generar pares de claves DKIM. Por lo general, se le proporcionará una clave pública, que suele presentarse en forma de una larga cadena de caracteres.
   • También se elige un selector (por ejemplo, s1, default, k1). Se trata de un identificador único que sirve para distinguir varias claves DKIM para un mismo dominio, lo que permite rotar las claves sin interrumpir el servicio.

2. Publicar la clave pública en el DNS:

• Crea un registro TXT en el DNS de tu dominio. El nombre de host de este registro debe seguir el siguiente formato: selector._domainkey.tudominio.com (por ejemplo, s1._domainkey.example.com).
• El valor de este registro TXT corresponderá a la clave pública, que suele comenzar por v=DKIM1; p=… (donde p= corresponde a tu clave pública). Algunos proveedores pueden utilizar la etiqueta k=rsa para especificar el algoritmo.

3. Configurar el servidor de correo saliente/ESP:

• Configura tu servidor de correo electrónico o tu proveedor de servicios de correo electrónico (ESP) para que firme todos los correos electrónicos salientes con tu clave privada, utilizando el selector especificado y firmando los encabezados correspondientes. Este paso es fundamental y suele implicar la activación de la función de firma DKIM en la configuración de tu plataforma de correo electrónico.
• Asegúrese de que la etiqueta «d=» (dominio de firma) de la firma DKIM de los correos electrónicos salientes coincida con el dominio de su organización para garantizar el cumplimiento de DMARC.

4. Verificación y ensayos:

• Una vez publicado el registro DNS y configurado tu remitente, envía un correo electrónico de prueba a un servicio que ofrezca verificación DKIM (por ejemplo, un correo electrónico de diagnóstico procedente de una plataforma de análisis DMARC, o simplemente un correo electrónico enviado a una dirección de Gmail cuyos detalles podrás comprobar haciendo clic en «Ver original»).
• Comprueba que el encabezado DKIM-Signature esté presente y que la firma sea válida.

5. Rotación de las llaves:

• Para reforzar la seguridad, se recomienda renovar periódicamente (por ejemplo, una vez al año) las claves DKIM. Esto implica generar un nuevo par de claves, publicar la nueva clave pública con un nuevo selector en el DNS, actualizar tu remitente para que utilice la nueva clave, realizar una verificación y, a continuación, desactivar la clave antigua y eliminar su registro público.

Buenas prácticas:

• Campos esenciales: asegúrate de que los campos «De», «Asunto», «Fecha» y «Para» estén siempre incluidos en la firma DKIM.

• Respetar la coincidencia del campo «d=»: en el caso de DMARC, el campo «d=» (dominio firmante) de la firma DKIM debe coincidir con el dominio del encabezado «From:» visible, tanto en modo estricto como en modo flexible.

• Subdominios independientes: si utiliza subdominios con fines de envío distintos, considere la posibilidad de utilizar claves DKIM específicas para cada uno de ellos, con el fin de aislar cualquier posible vulneración de seguridad.

 

DKIM y la capacidad de entrega: una relación directa

El protocolo DKIM tiene un impacto profundo y directo en la capacidad de entrega del correo electrónico, ya que constituye un indicador de confianza esencial para los proveedores de servicios de correo electrónico (PSCE).

• Una señal de confianza para los MBP: cuando llega un correo electrónico con una firma DKIM válida, esto indica al servidor destinatario que el contenido del mensaje es auténtico y no ha sido modificado, y que procede de una fuente verificada. Esto refuerza considerablemente la credibilidad del correo electrónico ante los filtros antispam del MBP.

• Reducción del número de mensajes clasificados como spam: los correos electrónicos que no superan la prueba DKIM o que no incluyen una firma DKIM tienen muchas más probabilidades de ser marcados como spam o intentos de phishing. Sin esta prueba criptográfica de origen e integridad, los proveedores de correo electrónico tienen menos motivos para confiar en el mensaje, incluso si la prueba SPF se supera. Una firma DKIM válida permite que los correos electrónicos legítimos eludan estos filtros.

• Mejora de la reputación: una autenticación DKIM coherente y eficaz contribuye positivamente a la reputación del remitente de tu dominio. Con el tiempo, esta reputación se traduce en una mejor entrega de tus correos electrónicos en la bandeja de entrada. Por el contrario, una configuración DKIM defectuosa o inexistente puede perjudicar gravemente tu reputación, lo que provocaría un deterioro general de la capacidad de entrega.

• Activación de la aplicación de DMARC: DKIM es uno de los principales métodos de autenticación validados por DMARC. Para BIMI, es obligatorio implementar correctamente DMARC con una política p=quarantine o p=reject. El papel de DKIM en el cumplimiento de los requisitos de alineación de DMARC lo hace indispensable para garantizar una excelente capacidad de entrega en el contexto de la aplicación de DMARC y, por lo tanto, para aprovechar al máximo las ventajas de BIMI en materia de confianza visual.

En resumen, una configuración DKIM bien implementada y gestionada no es solo un trámite técnico; es un elemento esencial de tu estrategia de entregabilidad del correo electrónico, que determina directamente si tus mensajes llegan a la bandeja de entrada de sus destinatarios y que contribuye a reforzar la confianza en tu marca.

La implementación eficaz de BIMI se basa en una política de autenticación de correos electrónicos sólida y aplicada de forma rigurosa. El mecanismo que garantiza esta aplicación es DMARC (Domain-based Message Authentication, Reporting, and Conformance), una especificación técnica definida en el RFC 7489 de la IETF. DMARC no es un nuevo método de autenticación, sino más bien una capa de políticas y generación de informes que aprovecha los resultados de SPF (RFC 7208) y DKIM (RFC 6376) para ofrecer protección a nivel de dominio contra la suplantación de identidad.

¿Qué es DMARC y cuál es su papel fundamental en la seguridad del correo electrónico?

DMARC permite al propietario de un dominio publicar, en sus registros DNS, una política que especifica cómo deben tratar los servidores de correo destinatarios los mensajes electrónicos que no superan los controles de autenticación. Su función principal es subsanar las deficiencias de los protocolos SPF y DKIM. Mientras que SPF valida la dirección IP del servidor remitente y DKIM verifica la integridad del mensaje mediante una firma criptográfica, ninguno de estos protocolos impide por sí solo la suplantación de la dirección «De:» visible para el usuario.

DMARC resuelve este problema introduciendo el concepto de «alineación de identificadores». Un correo electrónico solo se considera «conforme a DMARC» si supera las verificaciones SPF o DKIM y si el dominio utilizado en dichas verificaciones coincide con el dominio que figura en el encabezado «De:». Esta alineación es el eslabón esencial que garantiza que la identidad autenticada se corresponde con la identidad visible del remitente, lo que convierte a DMARC en el medio de control definitivo contra la suplantación directa de dominio y el phishing. Para BIMI, una política DMARC en vigor (cuarentena o rechazo) constituye la prueba irrefutable de que el propietario del dominio ha protegido su canal.

Funcionamiento de DMARC: alineación, políticas y etiquetas.

El servidor de correo electrónico destinatario aplica la lógica DMARC basándose en las etiquetas publicadas en el registro DNS DMARC del remitente.

• Alineación de identificadores: se trata del mecanismo de validación principal.
  • Alineación SPF: compara el dominio que aparece en el comando MAIL FROM (también denominado «Return-Path» o «envelope-from») con el que figura en el encabezado From:.
  • Verificación DKIM: compara el dominio indicado en la etiqueta «d=» de la firma DKIM con el dominio que aparece en el encabezado «From:».
  • Modos (Estricto frente a Flexible): La alineación se puede definir según uno de los dos modos mediante las etiquetas «aspf» y «adkim» en el registro DMARC:
    • Estrictivo: requiere una coincidencia exacta del dominio. Para el SPF, mail.example.com no coincidirá con example.com.
    • Flexible (r): los dominios organizativos deben coincidir. mail.example.com coincidirá con example.com. El parámetro «Flexible» es el predeterminado y el más habitual.

• Políticas y modificadores: estas etiquetas indican al destinatario cómo debe actuar.
  • p= (Política): instrucción principal para el dominio raíz.
    • p=none: Modo «supervisión». No interviene en caso de fallo en la transmisión de los correos electrónicos, pero recopila datos y envía informes. Imprescindible durante la fase inicial de implementación.
    • p = cuarentena: envía los correos electrónicos que no se pueden entregar a una ubicación distinta de la bandeja de entrada (normalmente, la carpeta de correo no deseado).
    • p=reject: indica al destinatario que rechace sin más la entrega de los mensajes que no se puedan entregar. Se trata del objetivo final, que ofrece la máxima protección.

• sp= (Política de subdominios): aplica la política seleccionada a todos los subdominios que no cuenten con su propio registro DMARC explícito. Esto es fundamental para evitar que los piratas informáticos se aprovechen de los subdominios desprotegidos (por ejemplo, promo.votremarque.com).
• pct= (porcentaje): una etiqueta esencial para las implementaciones progresivas. pct=10 significa que la política de cuarentena o rechazo solo se aplicará al 10 % de los mensajes rechazados, lo que permite a los administradores probar de forma segura el impacto de su política antes de implementarla por completo.

Informes DMARC: cómo entender los datos y sacarle partido.

DMARC ofrece dos mecanismos de generación de informes muy útiles, definidos por las etiquetas rua y ruf.

• Informes agregados (RUA): se trata de archivos XML que se envían periódicamente (normalmente a diario) a la dirección indicada en la etiqueta «rua». Contienen datos generales sobre todos los mensajes que afirman proceder de su dominio, en particular:
  • La dirección IP de origen (<source_ip>).
  • El número de mensajes procedentes de esta fuente (<count>).
  • La directiva DMARC (<directiva>).
  • Los resultados de las verificaciones SPF y DKIM, incluidos los dominios utilizados y si han cumplido los criterios de alineación (<policy_evaluated>). Estos informes son imprescindibles para elaborar un inventario completo de todos los servicios, legítimos o no, que envían correos electrónicos en tu nombre.

• Informes de análisis (RUF): se trata de copias editadas y en tiempo real de correos electrónicos individuales que no han superado la validación DMARC, enviadas a la dirección indicada en la etiqueta ruf. Estos informes están en formato AFRF (Authentication Failure Reporting Format) y se utilizan principalmente para el análisis de investigación destinado a investigar campañas específicas de suplantación de identidad o a resolver problemas complejos relacionados con la autenticación. Debido a su volumen y a sus posibles implicaciones en materia de confidencialidad, se utilizan con menos frecuencia que los informes agregados.

La aplicación de medidas basadas en los datos es un proceso sistemático: utilice los informes de RUA para identificar todas las fuentes de envío. Para cada fuente legítima, asegúrese de que sus correos electrónicos estén correctamente firmados con DKIM y/o se envíen desde una dirección IP incluida en su registro SPF, con el fin de garantizar el pleno cumplimiento. Cualquier fuente que no pueda cumplir con los requisitos debe desactivarse.

¿Cómo configurar un registro DMARC? Guía técnica.

Es fundamental adoptar un enfoque gradual y basado en datos para evitar bloquear el tráfico de correo electrónico legítimo.

1. Auditoría previa: antes de crear un registro DMARC, realice una auditoría exhaustiva de sus registros SPF y de sus prácticas de firma DKIM. Asegúrese de que todos los remitentes externos conocidos (por ejemplo, plataformas de marketing, servicios de correo transaccional, sistemas de RR. HH.) estén correctamente configurados.
2. Configuración inicial (supervisión): publica un registro TXT en _dmarc.tudominio.com con una política no restrictiva para empezar a recopilar datos.
   • Ejemplo de registro: v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; adkim=r; aspf=r;
     • Esta configuración establece una política de supervisión para el 100 % de los mensajes, solicita informes agregados y análisis detallados, y configura ambos modos de alineación en «flexible».

3. Análisis y corrección: durante varias semanas o meses, analiza los informes RUA con una herramienta de análisis DMARC. El objetivo es identificar y resolver los problemas de autenticación y alineación de todos los servicios de envío legítimos hasta que tus informes indiquen un cumplimiento de DMARC cercano al 100 % para el tráfico conocido.

4. Implementación gradual: refuerza tu nivel de seguridad de forma gradual.

• Sustituye «p» por «cuarentena» y «pct» por «5» para empezar a poner en cuarentena una pequeña parte de los correos electrónicos que no cumplen los requisitos.
• Aumente gradualmente el porcentaje (25 %, 50 %, etc.) hasta llegar al 100 %, asegurándose de que ningún correo legítimo se vea afectado.
• Repita el proceso para p=rechazo, comenzando con p=rechazo; pct=5; y aumentando progresivamente hasta p=rechazo; pct=100; para una aplicación estricta.

¿Cumple mi dominio con la norma DMARC? Herramientas de verificación.

En el marco de BIMI, un dominio se considera «conforme con DMARC» cuando su política está definida como p=quarantine o p=reject con pct=100 (o, si se omite el parámetro pct, el valor por defecto es 100).

Existen diversas herramientas en línea que permiten consultar los registros DMARC. Una herramienta de verificación completa debe:

• Comprueba si hay un registro TXT en el subdominio _dmarc.
• Comprobar la sintaxis del registro DMARC y notificar cualquier error.
• Comprueba que se pueda acceder a los buzones que figuran en las etiquetas rua/ruf.
• Mostrar la estrategia actual, el porcentaje y los parámetros de alineación.

Aunque estas herramientas permiten verificar el cumplimiento de su política publicada, el verdadero cumplimiento se basa en los datos subyacentes que demuestran que sus correos electrónicos legítimos superan la autenticación. Como parte de nuestro proceso de emisión de certificados VMC, BIMIMI ofrece un análisis de su postura DMARC realizado por expertos, garantizando así que su configuración no solo sea sintácticamente correcta, sino que también esté lista desde el punto de vista operativo para una implementación de BIMI exitosa y segura.

Aunque SPF, DKIM y DMARC son protocolos de autenticación de correo electrónico independientes, su verdadero potencial —y el requisito previo para la implementación de BIMI— reside en su funcionamiento sinérgico. Forman un sistema de defensa integrado que verifica la identidad del remitente, la integridad del mensaje y el cumplimiento de las políticas, lo que da como resultado la confianza visual que ofrece BIMI. Tomados individualmente, cada protocolo aporta una capa de seguridad; juntos, establecen un estándar impenetrable en materia de autenticidad de los correos electrónicos.

Esquema explicativo del proceso combinado.

Para ilustrar su proceso combinado, tomemos como ejemplo la siguiente secuencia simplificada de pasos que tienen lugar cuando se envía y se recibe un correo electrónico:

1. Envío de correos electrónicos: se envía un correo electrónico desde [email protected] a través de un servidor de correo legítimo.
   • El servidor remitente añade una firma DKIM (utilizando su clave privada) al encabezado del correo electrónico, firmando así determinadas partes específicas del mensaje.
   • Se ha definido la dirección MAIL FROM (remitente del sobre); esta es verificada por el protocolo SPF.

2. Recepción por parte del proveedor de buzón de correo (MBP): el servidor de correo receptor procesa el correo electrónico entrante.

3. Comprobación del índice SPF:

• El MBP extrae el dominio MAIL FROM (por ejemplo, tu marca.com).
• Consulta el DNS para obtener el registro SPF de yourbrand.com.
• Comprueba si la dirección IP del servidor remitente está autorizada en el registro SPF.
• Resultado: SPF (aprobado/suspenso).

4. Verificación DKIM:

• El MBP extrae la firma DKIM y el selector del encabezado del correo electrónico.
• Consulta el DNS para obtener la clave pública (en la dirección selector._domainkey.yourbrand.com).
• Utiliza la clave pública para verificar la firma DKIM.
• Resultado: DKIM correcto/fallido.

5. Evaluación de DMARC:

• El MBP comprueba si existe un registro DMARC para tu-marca.com.
• Conformidad con DMARC: esta comprobación permite garantizar que el dominio que aparece en el encabezado «From:» visible (tusmarca.com) coincide con el dominio autenticado por SPF (dominio «MAIL FROM») y/o DKIM (dominio de la etiqueta «d=»).
• Cumplimiento de DMARC: si al menos uno de los protocolos SPF o DKIM es válido y se garantiza la alineación.
• Error de DMARC: si las verificaciones de SPF y DKIM fallan o no son coherentes.

6. Aplicación de la política DMARC:

• Si DMARC falla, el MBP consulta la política DMARC del dominio (p=none, p=quarantine, p=reject) para determinar cómo gestionar el correo electrónico (ponerlo en vigilancia, moverlo a la carpeta de spam o rechazarlo directamente).

7. Visualización de BIMI (bajo ciertas condiciones):

• SOLO si la prueba DMARC se supera con una política de aplicación (p=quarantine o p=reject) Y si el dominio cuenta con un registro TXT BIMI válido que apunte a un certificado de marca verificada (VMC) para el logotipo asociado, el cliente de correo mostrará el logotipo verificado de la marca en la bandeja de entrada.
• Si DMARC falla o si la política está configurada como «p=none», el logotipo no se mostrará.

Este complejo proceso garantiza que solo los correos electrónicos que estén autenticados y se ajusten a la identidad declarada del dominio puedan beneficiarse de la mayor confianza y visibilidad que ofrece BIMI.

¿Por qué es necesaria una alineación rigurosa para BIMI?

El concepto de alineación en el marco del protocolo DMARC no es una mera formalidad técnica; es la piedra angular de la confianza que hace posible directamente el BIMI. La alineación garantiza que el dominio que autentica el correo electrónico (a través del encabezado MAIL FROM de SPF o la etiqueta d= de DKIM) sea efectivamente el mismo que el destinatario ve en el encabezado «De:».

• Prevención del suplantación de identidad: si no se aplica la alineación, un pirata informático podría suplantar la dirección «De:» visible de tu-marca.com al tiempo que envía el mensaje a través de un dominio sin relación alguna (malicious.com) cuya autenticación es débil o incluso inexistente. Aunque malicious.com cumpla con sus propias reglas SPF/DKIM, el dominio «De:» visible no estaría protegido. La alineación evita esto al exigir que el dominio autenticado coincida con el remitente aparente.

• Garantizar la coherencia de la marca: en el marco del protocolo BIMI, el logotipo que se muestra está vinculado al dominio que figura en el encabezado «De:». Si un correo electrónico supera la autenticación pero falla en la alineación, significa que la identidad visual de la marca no está suficientemente protegida por la autenticación técnica. El protocolo BIMI exige explícitamente que la prueba DMARC se supere con alineación, precisamente porque vincula un elemento visual (tu logotipo) a la identidad verificada de tu marca.

• Confianza y capacidad de entrega: los clientes de correo electrónico y los proveedores de bandejas de entrada confían mucho en los correos electrónicos que cumplen con el estándar DMARC. Esto se traduce directamente en una mejor entrega en la bandeja de entrada y refuerza la reputación del remitente. BIMI aprovecha esta confianza consolidada mostrando el logotipo solo en los correos electrónicos que cumplen este estricto requisito, garantizando así que este signo visual de confianza se basa en una sólida seguridad subyacente.

Los estrictos requisitos de BIMI en cuanto a la aplicación de DMARC (con p=quarantine o p=reject) implican que las autenticaciones SPF o DKIM deben estar validadas y alineadas. Esto garantiza que el logotipo de la marca solo se asocie a las comunicaciones procedentes de tu dominio que hayan sido correctamente autenticadas y alineadas.

Riesgos derivados de la ausencia o de una configuración incorrecta de alguno de estos protocolos.

La ausencia o una configuración incorrecta de cualquiera de estos protocolos genera vulnerabilidades críticas y compromete gravemente la eficacia de los correos electrónicos, lo que impide la adopción de BIMI.

• SPF ausente o mal configurado:
  • Riesgo: esto permite a los piratas informáticos enviar fácilmente correos electrónicos «desde» tu dominio utilizando servidores no autorizados, lo que da lugar a una suplantación generalizada de la identidad de tu marca.

• Consecuencias para DMARC/BIMI: los correos electrónicos que no superen la prueba SPF fracasarán directamente en la prueba DMARC (si DKIM tampoco se supera o no coincide), o bien reducirán la tasa de éxito de DMARC, lo que imposibilitará el paso a una política de aplicación (p=reject) y provocará, por tanto, la exclusión del programa BIMI. La entregabilidad se verá afectada debido a la falta de validación del remitente.

• Falta el DKIM o está mal configurado:
  • Riesgo: permite a los piratas informáticos enviar correos electrónicos desde tu dominio con contenido modificado. Esto también expone a tu dominio a riesgos de suplantación de identidad si el protocolo SPF no está correctamente configurado y alineado.

• Consecuencias para DMARC/BIMI: al igual que con el SPF, una firma DKIM no válida puede provocar fallos en DMARC, lo que dificulta la implementación de DMARC. Muchos servicios de envío legítimos (en particular, los proveedores de servicios de correo electrónico de terceros) dependen en gran medida del protocolo DKIM para la autenticación. Sin él, sus correos electrónicos no superarán la prueba DMARC.

• DMARC ausente o mal configurado (o política p=none):
  • Riesgo: aunque los protocolos SPF y DKIM estén perfectamente configurados, si no se aplica activamente una política DMARC, los servidores receptores no disponen de instrucciones claras sobre cómo tratar los correos electrónicos que no cumplen con los requisitos. Los correos electrónicos fraudulentos que logran eludir los filtros SPF/DKIM (por ejemplo, debido a ligeros desfases) podrían acabar llegando a las bandejas de entrada. De este modo, se pierden valiosos datos de informes.

• Consecuencias para BIMI: BIMI no puede funcionar sin la implementación de DMARC con una política de aplicación (p=cuarentena o p=rechazo). Una política p=none significa que no se toma ninguna medida contra los correos electrónicos fraudulentos, lo que no ofrece la seguridad suficiente para un indicador visual de confianza como BIMI.

En resumen, SPF, DKIM y DMARC no son herramientas independientes, sino componentes interdependientes de un ecosistema sólido de autenticación del correo electrónico. Una falla en cualquiera de estos protocolos compromete todo el sistema, lo que impide la adopción de mecanismos de confianza avanzados como BIMI y expone a su marca y a sus destinatarios a ciberamenazas persistentes y en constante evolución. La creación de esta base sólida constituye el primer paso esencial para aprovechar al máximo el potencial de BIMI.

Para que DMARC pueda garantizar la autenticación de los correos electrónicos, es necesario implementar rigurosamente sus protocolos básicos: SPF y DKIM. El SPF (Sender Policy Framework) actúa como primer filtro, garantizando que los correos electrónicos que afirman proceder de tu dominio se envían efectivamente desde servidores que tú has autorizado explícitamente.

¿Qué es el factor de protección solar (FPS) y por qué es tan importante?

El SPF (Sender Policy Framework) es un método de autenticación de correos electrónicos diseñado para detectar la suplantación de identidad del remitente. Permite al propietario de un dominio publicar una lista de direcciones IP autorizadas para enviar correos electrónicos en nombre de dicho dominio. Cuando un servidor de correo electrónico receptor recibe un correo electrónico, realiza una verificación SPF: consulta el DNS para obtener el registro SPF del dominio del remitente y compara la dirección IP del servidor remitente con la lista de direcciones autorizadas.

¿Por qué es tan importante?

1. Lucha contra la suplantación de identidad: sin el SPF, cualquiera podría enviar un correo electrónico haciéndose pasar por tu dominio, una táctica conocida como «suplantación de identidad». Se trata de un elemento clave de los ataques de phishing. El SPF reduce considerablemente la tasa de éxito de estos ataques al ofrecer a los destinatarios un mecanismo que les permite verificar el origen legítimo de un correo electrónico.
2. Mejora de la capacidad de entrega: los proveedores de correo electrónico (MBP) aplican criterios cada vez más estrictos en materia de autenticación de correos electrónicos. Los correos electrónicos procedentes de dominios que no dispongan de un registro SPF válido (o cuyo registro esté mal configurado) corren un mayor riesgo de ser marcados como sospechosos, de ser redirigidos a las carpetas de correo no deseado o de ser rechazados sin más, lo que perjudica tu capacidad de entrega y la eficacia de tu comunicación.
3. Requisito previo para DMARC: el SPF es uno de los dos pilares en los que se sustenta DMARC. Para que un correo electrónico sea validado por DMARC, debe cumplir los requisitos del SPF o del DKIM y, sobre todo, garantizar la coherencia entre el dominio «MAIL FROM» y el dominio del encabezado «From:». Por lo tanto, un registro SPF fiable es indispensable para cualquier dominio que desee implementar DMARC y, posteriormente, BIMI.

¿Cómo se configura y se mantiene un registro SPF válido?

Un registro SPF se publica como un registro TXT en el DNS de tu dominio. Su configuración debe realizarse con precisión para que sea eficaz y no bloquee inadvertidamente los correos electrónicos legítimos.

1. Identificar todas las fuentes de envío: este es el primer paso, y el más importante. Elabora una lista exhaustiva de todos los servicios o servidores que envían correos electrónicos en nombre de tu dominio. Esto incluye:
   • Sus propios servidores de correo electrónico (por ejemplo, Exchange, Postfix).
   • Proveedores externos de servicios de correo electrónico (ESP) destinados al marketing (por ejemplo, Mailchimp, Salesforce Marketing Cloud).
   • Servicios de correo transaccional (por ejemplo, SendGrid, Mailgun).
   • Paquetes ofimáticos en línea (por ejemplo, Google Workspace, Microsoft 365).
   • Cualquier otra aplicación o servidor que envíe notificaciones desde tu dominio.

2. Crear el registro SPF:

• v=spf1: esta etiqueta es obligatoria e identifica el registro TXT como un registro SPF. Siempre debe ser el primer mecanismo.
• Mecanismos para remitentes autorizados:
  • ip4:192.0.2.1 o ip6:2001:db8::1: enumera explícitamente las direcciones IP autorizadas.
  • a: Autoriza la dirección o direcciones IP del registro A para el dominio actual.
  • mx: Permite la dirección o direcciones IP de los registros MX para el dominio actual.
  • incluir: spf.example.com: esta opción se utiliza a menudo para incluir los registros SPF de servicios de terceros. Debes incluir todos los servicios.
  • exists:example.com: un mecanismo menos habitual que comprueba si un dominio existe.

• Calificador (acción en caso de fallo): determina cómo deben tratar los servidores destinatarios los mensajes procedentes de fuentes no autorizadas. Precede al mecanismo.
  • + (Pass): autoriza explícitamente (valor predeterminado si no se especifica ningún calificador).
  • – (Fallo total): rechaza categóricamente los correos electrónicos procedentes de fuentes no registradas. Recomendado para la aplicación de DMARC.
  • ~ (Fallo flexible): el mensaje se marca como probablemente no legítimo, pero se acepta. A menudo se clasifica en la carpeta de «spam». No se recomienda para la aplicación de DMARC.
  • ? (Neutro): Considera que los correos electrónicos no son ni autorizados ni no autorizados. Prácticamente no ofrece protección alguna.

• -all: Se trata del calificador más importante del mecanismo «all» y, por lo general, debe aparecer en último lugar en tu registro. Define la política aplicable a cualquier remitente que no esté explícitamente cubierto por los mecanismos anteriores. El uso de -all (fallo definitivo) es esencial para la eficacia de DMARC, ya que ordena a los destinatarios rechazar los correos electrónicos no autorizados. ~all (fallo temporal) es una medida provisional destinada a una implementación prudente, pero ofrece una protección menos eficaz.
• Ejemplo de un registro SPF robusto: v=spf1 ip4:192.0.2.1 include:_spf.google.com include:spf.mailchimp.com -all (Esto autoriza una dirección IP específica, Google Workspace y Mailchimp, y rechaza explícitamente todas las demás).

3. Publicar en el DNS: añade esto como un registro TXT para tu dominio raíz (tudominio.com).

4. Mantenimiento: los registros SPF requieren un mantenimiento periódico.

• Cuando añadas nuevos remitentes: asegúrate de actualizar siempre tu registro SPF para incluir sus mecanismos de inclusión o sus respectivas direcciones IP.
• Para eliminar remitentes: elimina su dirección de correo electrónico o su dirección IP de tu registro SPF.
• Comprobación periódica: comprueba periódicamente que tu perfil SPF se ajusta a tu infraestructura de envío actual.

Errores comunes relacionados con el SPF y cómo evitarlos.

Los registros SPF mal configurados suelen ser la causa de problemas de entregabilidad y de fallos de DMARC.

1. «Demasiadas consultas» (máx. 10): se trata del error más habitual y más grave. La especificación SPF limita el número de consultas DNS (a, mx, ptr, exists, include) a un máximo de 10. Cada mecanismo «include» puede, a su vez, contener varias consultas. Superar este límite provocará el fallo de la validación SPF, lo que podría afectar a los correos electrónicos legítimos.
   • Prevención: agrupa los mecanismos de inclusión en la medida de lo posible. Utiliza directamente las direcciones IP (IPv4/IPv6) en lugar de los registros «a» o «mx» si las direcciones IP son estáticas. Utiliza con precaución las herramientas en línea de «SPF flattening», ya que incorporan directamente las direcciones IP, que pueden quedar obsoletas.

2. Registros SPF múltiples: un dominio solo debe tener un único registro TXT SPF. Si se detectan varios registros SPF, el servidor de destino suele ignorarlos todos, lo que dará lugar a un estado SPF «Neutro» o «Fallido», así como a un fallo de DMARC.

• Solución alternativa: agrupa todos los mecanismos procedentes de diferentes fuentes en un único registro v=spf1 … -all.

3. Sintaxis incorrecta: simples errores tipográficos, espacios que faltan o calificativos incorrectos pueden invalidar todo el registro.

• Prevención: utilice herramientas de validación SPF en línea después de cada modificación. Compruebe minuciosamente todos los mecanismos y su orden.

4. Ausencia del mecanismo «all»: un registro SPF que no incluya el mecanismo «all» (-all, ~all o ?all) implica que cualquier dirección IP que no se mencione explícitamente se considera neutra, lo que prácticamente no ofrece ninguna protección.

• Precaución: asegúrate de incluir siempre un mecanismo «all» como última entrada. Para la aplicación de DMARC, utiliza «-all».

5. Olvidarse de actualizar: las nuevas plataformas de marketing, los servicios de correo transaccional o incluso las migraciones a la nube pueden dar lugar a la aparición de nuevas direcciones IP o nuevos dominios de envío que deben añadirse.

• Prevención: Considere su registro SPF como un documento en constante evolución. Incorpore su gestión a sus procesos de control de cambios para la infraestructura de correo electrónico. Revise periódicamente los informes agregados de DMARC para identificar las fuentes de correos electrónicos que no cumplen con la política SPF.

Mantener un registro SPF preciso y conforme es un elemento fundamental para la seguridad del correo electrónico y un requisito previo esencial para la implementación satisfactoria de los protocolos DMARC y BIMI.

En una época en la que las ciberamenazas son omnipresentes, la integridad y la seguridad de las comunicaciones por correo electrónico revisten una importancia capital. El BIMI desempeña un papel esencial no solo en la identidad visual de su marca, sino también, y sobre todo, en el refuerzo fundamental de la seguridad y la reputación de sus correos electrónicos. Transforma la bandeja de entrada, que antes era un punto de vulnerabilidad potencial, en un bastión de confianza verificada.

La relación entre el BIMI, la autenticación y la lucha contra el phishing.

El BIMI es indisociable de unos protocolos sólidos de autenticación del correo electrónico, lo que lo convierte en un potente elemento disuasorio contra el phishing y la suplantación de direcciones de correo electrónico. Para que el logotipo de su marca se muestre a través de BIMI, su dominio debe aplicar estrictamente el protocolo DMARC (Domain-based Message Authentication, Reporting, and Conformance) con una política definida en «cuarentena» o «rechazo». El protocolo DMARC se basa, a su vez, en los protocolos SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail) para verificar que un correo electrónico procede efectivamente de su dominio y no ha sido alterado.

• La autenticación como requisito previo: BIMI actúa como un sello visual que certifica dicha autenticación subyacente. Cuando un destinatario ve su logotipo verificado, tiene la seguridad indirecta de que su correo electrónico ha superado con éxito rigurosos controles de seguridad. Esto evita que el destinatario tenga que hacerse preguntas, ya que ya no necesita examinar minuciosamente los encabezados o las direcciones del remitente para asegurarse de la legitimidad del mensaje.
• Lucha contra el phishing: los ataques de phishing se basan en gran medida en la suplantación de identidad, ya que los ciberdelincuentes envían correos electrónicos que parecen proceder de marcas legítimas. Al exigir un logotipo verificado asociado a un dominio sujeto a la política DMARC, BIMI complica considerablemente la tarea de los phishers que intenten hacerse pasar por su marca. Sin superar esta rigurosa autenticación, sus correos electrónicos suplantados no mostrarán su logotipo o, lo que es peor, serán rechazados sin más por los servidores de correo configurados para cumplir con su política DMARC. Esto significa que llegan menos correos electrónicos fraudulentos a las bandejas de entrada, y que aquellos que llegan sin su logotipo de confianza despiertan inmediatamente la desconfianza de los destinatarios informados. De este modo, BIMI ofrece una capa visual crucial en la lucha contra el fraude por correo electrónico, protegiendo tanto a su marca como a sus clientes.

El impacto de BIMI en la percepción que tienen los destinatarios de tu marca.

Más allá de las ventajas técnicas en materia de seguridad, el BIMI influye profundamente en la percepción psicológica de tu marca en la bandeja de entrada. Este impacto puede clasificarse de la siguiente manera:

• Reconocimiento inmediato y confianza: en una fracción de segundo, el destinatario identifica al instante tu logotipo distintivo. Este reconocimiento instantáneo genera confianza inmediata. Refleja tu profesionalidad y tu compromiso con las mejores prácticas, lo que demuestra que tu marca da prioridad a la seguridad y la transparencia. Esta confianza puede traducirse en una preferencia inconsciente por tus correos electrónicos frente a los de tus competidores que no utilizan BIMI.
• Refuerzo de la autoridad y la credibilidad de la marca: la presencia de un logotipo certificado refuerza la autoridad de tu marca. Demuestra que tu organización está bien consolidada, es auténtica y se toma lo suficientemente en serio su presencia en línea como para implementar normas de autenticación avanzadas. Esto no solo refuerza la credibilidad de tu marca, sino que también proyecta una imagen de sofisticación digital.
• Una experiencia de usuario positiva: para el destinatario, una bandeja de entrada personalizada con la imagen de la marca ofrece una experiencia más organizada, predecible y tranquilizadora. La coherencia visual que aporta BIMI reduce la carga cognitiva y la ansiedad relacionadas con la identificación de los correos electrónicos legítimos, lo que favorece una interacción más positiva y fluida con su marca en todos los puntos de contacto por correo electrónico. Esta experiencia de usuario mejorada contribuye directamente a reforzar la fidelidad a la marca y el compromiso.

BIMI y el cumplimiento de las normas de seguridad del correo electrónico.

El BIMI no es solo una función opcional; es una muestra del compromiso de cumplir con los estándares actuales de seguridad del correo electrónico y de ampliar sus límites.

• Cumplimiento de las mejores prácticas del sector: al imponer una política DMARC rigurosa desde su implementación, BIMI obliga a las marcas a adoptar las mejores prácticas en materia de autenticación de correos electrónicos, que gozan de reconocimiento mundial y son cada vez más exigidas por los principales proveedores de correo electrónico (MBP). Este enfoque proactivo demuestra un compromiso con la excelencia operativa y la ciberresiliencia.
• Una estrategia de correo electrónico preparada para el futuro: el panorama digital está en constante evolución, y la importancia que se concede a la verificación de la identidad no deja de crecer. La adopción de BIMI sitúa a su marca a la vanguardia de esta evolución, garantizando así que su estrategia de correo electrónico siga siendo eficaz y cumpla con las nuevas normas de seguridad. A medida que cada vez más proveedores de correo electrónico imponen o dan prioridad a los correos electrónicos autenticados, las marcas que utilicen BIMI se beneficiarán naturalmente de un mejor posicionamiento y de una mayor confianza.
• Auditoría e informes simplificados: los requisitos DMARC en los que se basa BIMI proporcionan informes muy útiles. Estos informes DMARC ofrecen información crucial sobre el tráfico de correo electrónico procedente de su dominio, ya sea de actividades legítimas o potencialmente fraudulentas. Estos datos son indispensables para garantizar una supervisión continua, evaluar el rendimiento en materia de seguridad del correo electrónico y tomar decisiones informadas con el fin de optimizar sus prácticas de envío y garantizar el cumplimiento normativo.

En esencia, BIMI transforma la seguridad del correo electrónico —que hasta ahora no era más que un aspecto técnico en segundo plano— en un activo visible para la marca, reforzando así tanto la protección como la imagen de marca.

La cuestión de si el BIMI es un elemento indispensable para su estrategia digital se plantea para cualquier empresa con visión de futuro. Aunque no es estrictamente obligatorio para el correcto funcionamiento del correo electrónico, el BIMI ofrece ventajas estratégicas que cobran cada vez más importancia en un entorno digital competitivo y preocupado por la seguridad. Va más allá del simple marco de los imperativos operativos para convertirse en un factor determinante de la confianza en la marca y de la diferenciación en el mercado.

Criterios para la implementación de BIMI (tamaño, sector de actividad, volumen de correos electrónicos).

El BIMI ofrece numerosas ventajas para una amplia variedad de empresas, pero hay ciertos criterios que permiten optimizar su impacto:

• Reconocimiento de marca y estrategia de marketing: si tu marca depende en gran medida del correo electrónico para sus actividades de marketing, su servicio de atención al cliente, sus comunicaciones transaccionales o la captación de clientes potenciales, BIMI constituye una herramienta de gran valor. Las marcas con una identidad visual sólida que busquen reforzar su notoriedad y la confianza que inspiran encontrarán en BIMI una herramienta especialmente eficaz.
• Sector de actividad e importancia de la confianza: las empresas que operan en sectores en los que la confianza y la seguridad son fundamentales —como los servicios financieros, la sanidad, el comercio electrónico, el sector jurídico o las tecnologías— obtendrán un beneficio considerable del BIMI. Los clientes de estos sectores son muy conscientes de los riesgos relacionados con el phishing; un logotipo certificado aporta una garantía esencial y permite distinguir las comunicaciones legítimas de los intentos fraudulentos.
• Volumen e importancia de los correos electrónicos: las organizaciones que envían un volumen moderado o elevado de correos electrónicos, en particular aquellos considerados esenciales (por ejemplo, extractos de cuenta, alertas de seguridad, confirmaciones de pedidos, credenciales de inicio de sesión), serán las que más se beneficien. BIMI garantiza que estos mensajes de alto riesgo sean inmediatamente identificables y fiables, lo que reduce el número de solicitudes de asistencia y refuerza la confianza de los destinatarios.
• Nivel actual de madurez en materia de autenticación de correos electrónicos: aunque BIMI exige una autenticación rigurosa, esta solución es ideal para las empresas que ya han implementado, o están dispuestas a implementar, protocolos DMARC (con una política de aplicación de tipo «cuarentena» o «rechazo»), SPF y DKIM sólidos. Una base sólida en materia de autenticación de correos electrónicos es un requisito previo para el uso de BIMI.
• Marca registrada: para obtener un certificado VMC (Verified Mark Certificate), que permite disfrutar plenamente de las ventajas del BIMI, es imprescindible que su logotipo sea una marca registrada legalmente. Esto garantiza que el logotipo que se muestra está efectivamente asociado a su entidad verificada.

En resumen, si la integridad de tu marca, la confianza de tus clientes y la interacción por correo electrónico son para ti prioridades absolutas, BIMI es una necesidad estratégica mucho más que una simple opción.

Los costes relacionados con el BIMI: una inversión rentable.

Aunque el BIMI ofrece ventajas considerables, es importante tener bien claras las inversiones que conlleva. Por lo general, estas incluyen:

• Configuración de la autenticación del correo electrónico (DMARC, SPF, DKIM): si estos protocolos básicos aún no están implementados, su configuración y mantenimiento supondrán unos costes. Esto puede requerir conocimientos técnicos y, posiblemente, el uso de herramientas de terceros para supervisar los informes DMARC.
• Registro de la marca: para un VMC, su logotipo debe ser una marca registrada. Si aún no lo es, hay que tener en cuenta los costes y los plazos que conlleva el registro de la marca.
• Obtención de un certificado «Verified Mark» (VMC): este es el principal coste directamente relacionado con el BIMI. Los VMC son certificados digitales emitidos por autoridades de certificación (CA) de confianza, como DigiCert, que acreditan que usted es el propietario del logotipo protegido por una marca registrada. El coste varía en función de la autoridad de certificación y de la duración de validez del certificado. Como socio de DigiCert y primer distribuidor mundial, BIMIMI ofrece tarifas competitivas y un servicio inigualable, lo que hace que esta inversión crucial sea accesible y sencilla.
• Conversión y alojamiento de logotipos en formato SVG: tu logotipo debe estar en formato SVG y alojado de forma segura. Esto puede suponer unos gastos mínimos de desarrollo o alojamiento.
• Mantenimiento y supervisión: es fundamental realizar una supervisión continua de los informes DMARC y de la validez de los certificados para garantizar el buen funcionamiento permanente de BIMI.

Teniendo en cuenta la mayor visibilidad de la marca, el aumento de la confianza, la mejora de la capacidad de entrega y la protección eficaz contra el phishing, los costes asociados a BIMI suelen considerarse una inversión rentable. El retorno de la inversión se traduce en relaciones más sólidas con los clientes, una reducción del fraude y un canal de marketing por correo electrónico más eficaz, lo que compensa con creces el gasto inicial.

Primeros pasos con BIMI: ¿por dónde empezar?

Embarcarse en la aventura de BIMI puede parecer complicado, pero con los consejos adecuados, se convierte en un proceso claro y fácil de gestionar. A continuación te ofrecemos un enfoque estructurado para empezar:

1. Evalúa la autenticación de tus correos electrónicos:

• Asegúrese de que los protocolos SPF y DKIM estén correctamente implementados para todos los dominios emisores.
• Implemente una política DMARC, comenzando por el modo «supervisión» (p=none) y pasando progresivamente al modo «cuarentena» (p=quarantine) o «rechazo» (p=reject). Se trata de un requisito previo indispensable para la implementación de BIMI.

2. Comprueba el logotipo de tu marca:

• Asegúrate de que el logotipo de tu marca esté debidamente registrado como marca comercial en los países donde residen tus clientes. Se trata de una condición indispensable para un VMC.

3. Prepara tu logotipo en formato SVG:

• Convierte tu logotipo al formato SVG (Scalable Vector Graphics), específico y seguro, asegurándote de que cumpla con las estrictas especificaciones de visualización de BIMI.

4. Obtén tu certificado de marca verificada (VMC):

• Se trata de la etapa crucial en la que obtienes el certificado digital que vincula tu logotipo verificado con tu dominio autenticado. Es aquí donde BIMIMI destaca como socio experto. Te acompañamos a lo largo de todo el proceso de solicitud del VMC ante DigiCert, asegurándonos de que se cumplan todos los requisitos y de que la obtención del certificado se desarrolle sin contratiempos.

5. Publica tu registro BIMI:

• Una vez que hayas obtenido tu VMC, deberás publicar un registro TXT BIMI en tu DNS (sistema de nombres de dominio), indicando la ubicación de tu logotipo SVG y de tu VMC.

6. Supervisión y mantenimiento:

• Consulte periódicamente sus informes DMARC y compruebe que su logotipo BIMI se muestra correctamente en los distintos proveedores de correo electrónico. BIMI le ofrece asistencia continua y herramientas para ayudarle a gestionar y mantener de forma eficaz su implementación de BIMI.

Si sigue estos pasos, y sobre todo si aprovecha la experiencia de BIMIMI, el mejor distribuidor del mundo, podrá abordar con total confianza las complejidades de la implementación de BIMI y aprovechar al máximo su potencial para reforzar la visibilidad, la confianza y la seguridad de su marca.

¿Qué es el BIMI y por qué es imprescindible para mi marca?

En el panorama digital actual, donde el correo electrónico sigue siendo un canal esencial de comunicación y comercio, es fundamental destacar y generar confianza. El BIMI (Brand Indicators for Message Identification) se impone como un estándar revolucionario en el ámbito del correo electrónico, diseñado precisamente con este objetivo. Mucho más que un simple protocolo técnico, es una potente herramienta para reforzar el reconocimiento de marca y mejorar la seguridad.

Una definición sencilla de BIMI: más allá de la capa exterior.

Básicamente, BIMI permite a las empresas mostrar su logotipo oficial y verificado justo al lado de sus correos electrónicos autenticados en la bandeja de entrada del destinatario. Piensa en ello como una garantía de autenticidad digital. Normalmente, tu correo electrónico solo muestra tu nombre o tu dirección de correo electrónico. Con BIMI, su logotipo distintivo y reconocible aparece en ese mismo lugar, incluso antes de que el destinatario abra el mensaje. Esta pista visual transforma una entrada genérica de la bandeja de entrada en un punto de contacto de marca, ampliando la presencia de su marca «más allá del sobre» y en la experiencia de lectura inicial de su público. Se basa en una autenticación sólida de los correos electrónicos (DMARC, SPF, DKIM) para garantizar que solo los remitentes legítimos puedan mostrar sus logotipos verificados, vinculando así directamente la visibilidad de la marca con la seguridad de los correos electrónicos.

Las principales ventajas del BIMI: visibilidad, confianza y capacidad de entrega.

La implementación de BIMI ofrece una triple ventaja inestimable para cualquier marca presente en el mundo digital:

• Mayor visibilidad: en una bandeja de entrada saturada, tu marca debe llamar la atención a primera vista. BIMI lo consigue destacando tu logotipo oficial. Esta distinción visual hace que tus correos electrónicos sean inmediatamente reconocibles, lo que les permite destacar entre el aluvión de mensajes y aumenta las posibilidades de interacción.
• Mayor confianza y autenticidad: un logotipo verificado es un claro indicador de legitimidad. Cuando los destinatarios reconocen el logotipo familiar de su marca, se sienten naturalmente más seguros, sabiendo que el correo electrónico procede efectivamente de su organización y que no se trata de un intento de phishing. Esta confirmación visual reduce considerablemente el riesgo de que sus correos electrónicos se confundan con spam o contenido malicioso, reforzando así la confianza de los clientes en sus comunicaciones.
• Mejora de la entregabilidad: aunque no se trata de un protocolo de entregabilidad propiamente dicho, BIMI exige una autenticación rigurosa de los correos electrónicos (aplicación de DMARC). Al cumplir los estrictos requisitos de seguridad de BIMI, mejoras automáticamente tu reputación como remitente. Los proveedores de servicios de correo electrónico (ESP) dan prioridad a los remitentes autenticados, lo que significa que tus correos electrónicos tienen menos probabilidades de acabar en las carpetas de spam y, por lo tanto, llegan con mayor regularidad a su público objetivo.

Para las marcas, esto se traduce en mayores tasas de apertura, una mayor implicación de los clientes y una mayor protección contra la suplantación de identidad y los ataques de phishing. El BIMI no es solo una opción; es un imperativo estratégico para la comunicación digital moderna.

¿Quién utiliza BIMI hoy en día? Ejemplos concretos.

El BIMI está experimentando un rápido crecimiento en diversos sectores y está siendo adoptado por marcas líderes que desean reforzar la seguridad de sus correos electrónicos y su presencia en el mercado. Los principales clientes de correo electrónico, como Gmail, Yahoo Mail y Apple Mail, ya admiten activamente el BIMI, lo que convierte su implementación en un factor diferenciador cada vez más importante.

A continuación se presentan algunos ejemplos que ilustran cómo organizaciones de primer orden han adoptado el BIMI, lo que demuestra su amplio ámbito de aplicación:

• Instituciones financieras: los bancos y los proveedores de servicios de pago, como JP Morgan Chase y American Express, utilizan la tecnología BIMI para garantizar a sus clientes la autenticidad de las comunicaciones financieras confidenciales, luchar contra el fraude y generar una confianza inquebrantable.
• Los gigantes tecnológicos: empresas como Google, pero también LinkedIn y Adobe, utilizan BIMI para reforzar su identidad de marca y proteger a sus usuarios frente a sofisticados intentos de phishing que suelen dirigirse a los usuarios de tecnologías.
• Tiendas online: marcas como Amazon y diversos minoristas online utilizan BIMI para ofrecer a los clientes una confirmación visual inmediata sobre los confirmaciones de pedido, las actualizaciones de envío y las ofertas promocionales, lo que mejora la experiencia de compra y reduce la incertidumbre de los clientes.
• Sector del automóvil: fabricantes como Ford y General Motors utilizan la tecnología BIMI para autenticar sus mensajes de atención al cliente y sus campañas de marketing, garantizando así la integridad de su marca en todos sus puntos de contacto digitales.

Estos ejemplos demuestran claramente que BIMI no es una tecnología de nicho, sino un estándar generalizado adoptado por los líderes mundiales para proteger la reputación de su marca, reforzar la confianza de los clientes y garantizar que sus comunicaciones esenciales sean vistas y tenidas en cuenta. Al sumarse a estos pioneros, su marca también puede reforzar su presencia en el correo electrónico y mejorar su nivel de seguridad.

Guía detallada sobre los requisitos de elegibilidad del programa VMC para los logotipos protegidos por una marca registrada

Mostrar tu logotipo junto al nombre de tu empresa en Gmail o Apple Mail —acompañado del símbolo de verificación— es una de las mejores muestras de confianza que una marca puede ofrecer.

Pero antes de lanzarse a cualquier configuración técnica, hay un paso fundamental que hay que dar: registrar tu logotipo como marca registrada.

Sin una marca registrada, ni siquiera los métodos de autenticación de correos electrónicos más avanzados (SPF, DKIM, DMARC) permitirán que tu logotipo obtenga un certificado de marca verificada (VMC).

En este artículo se explica qué es una marca válida, cómo registrarla y cuáles son los siguientes pasos en tu proceso con VMC.

¿Por qué es imprescindible que VMC cuente con un logotipo registrado?

El objetivo de un certificado «Verified Mark» es acreditar la titularidad legal de la identidad visual de una marca.

Los proveedores de correo electrónico como Gmail, Yahoo y Apple Mail solo muestran los logotipos certificados cuando la titularidad de la marca ha sido reconocida oficialmente por una oficina de propiedad intelectual autorizada por las autoridades públicas.

El registro de una marca convierte tu logotipo de una simple imagen en un identificador con validez jurídica.

Esto indica a todo el ecosistema —usuarios, autoridades de certificación y proveedores de correo electrónico— que tu marca y tu logotipo son auténticos, están protegidos y son únicos.

En resumen:

Sin marca registrada, sin logotipo certificado.

Una marca registrada aporta seguridad jurídica y evita cualquier usurpación de identidad, al tiempo que mejora la capacidad de entrega, la visibilidad y la confianza en la marca.

¿Qué se considera una marca registrada válida para un VMC?

Solo las marcas registradas y que puedan ser objeto de una búsqueda son elegibles para un VMC.

No basta con utilizar el símbolo ™, haber presentado una solicitud de registro o reivindicar un derecho de marca de hecho.

La marca debe estar registrada en una de las oficinas de propiedad intelectual oficialmente reconocidas para que las autoridades de certificación (CA) puedan verificar de forma independiente su autenticidad en las bases de datos públicas.

En algunos casos, se puede admitir a organismos públicos sin marca registrada, siempre que puedan acreditar su condición jurídica mediante documentos oficiales procedentes de un registro.

Oficinas de marcas autorizadas para la validación VMC

Basta con tener una sola marca vigente registrada en una de las 17 oficinas reconocidas que se indican a continuación para poder obtener un certificado de marca verificada, independientemente de la ubicación de su empresa.

1. Oficina de Patentes y Marcas de Estados Unidos (USPTO)
2. Oficina de Propiedad Intelectual de Canadá (OPIC)
3. Oficina de la Unión Europea para la Propiedad Intelectual (EUIPO)
4. Oficina Británica de Propiedad Intelectual (UKIPO)
5. Oficina Alemana de Patentes y Marcas (DPMA)
6. Oficina Japonesa de Patentes (JPO)
7. Oficina Española de Patentes y Marcas (OEPM)
8. IP Australia
9. Propiedad intelectual en la India
10. Oficina Coreana de Propiedad Intelectual (KIPO)
11. Instituto Nacional de la Propiedad Industrial (Portugal)
12. Instituto Nacional de la Propiedad Industrial (Francia)
13. Oficina de Propiedad Intelectual del Benelux (BOIP)
14. Ministerio de Cultura de Dinamarca (DK)
15. Oficina Sueca de Propiedad Intelectual (PRV)
16. Instituto Federal de la Propiedad Intelectual (IPI)
17. Oficina de Propiedad Intelectual de Nueva Zelanda (IPONZ)

Cómo registrar tu logotipo, paso a paso

1). Comprueba si tu logotipo cumple los requisitos

Tu diseño debe ser distintivo y servir para identificar tu marca o tu producto.

Las formas genéricas, las marcas compuestas únicamente por texto sin elementos estilísticos o los símbolos comunes rara vez son admisibles.

2) Elija la jurisdicción correspondiente

Presente su solicitud ante la oficina de propiedad intelectual competente en función de su sede social o de su mercado de destino:

– USPTO para las marcas estadounidenses

– La EUIPO para las actividades en Europa

– IP India, KIPO, etc., según tu región.

3). Buscar un logotipo

Consulte la base de datos pública de marcas de la oficina que elija para asegurarse de que no existe ninguna marca similar.

Esto permite reducir el riesgo de que surjan objeciones o rechazos posteriores.

4). Presenta tu solicitud

Presenta tu solicitud en línea a través del portal de la oficina.

Deberá subir su logotipo, seleccionar las clases pertinentes (categorías sectoriales) y abonar las tasas de registro (que suelen oscilar entre 250 y 350 dólares por clase en Estados Unidos).

Algunos solicitantes recurren a un abogado especializado en propiedad intelectual o a un agente de registro para garantizar la exactitud de su expediente.

5). Responder a los comentarios sobre los exámenes

Se estudiará su solicitud. Si un examinador plantea alguna objeción (por ejemplo, una similitud con una marca ya existente), responda sin demora o modifique su solicitud.

6). Recibir la confirmación de la inscripción

Una vez aprobada su solicitud, recibirá un certificado oficial o un número de registro, que es el documento necesario para la validación VMC.

💡 Consejo: guarda una copia digital de tu certificado o número de registro. La autoridad de certificación te lo pedirá durante la verificación VMC.

Próximos pasos: solicitar su certificado de marca verificada

Una vez que hayas registrado oficialmente tu logotipo, podrás pasar a los pasos técnicos y de verificación necesarios para BIMI y VMC.

1. Prepara tu logotipo en formato SVG Tiny PS. Este formato vectorial es obligatorio para BIMI. Evita los degradados, la transparencia y las imágenes incrustadas.
2. Aloja el archivo SVG en tu dominio HTTPS. Preferiblemente en un subdominio que controles, como bimi.tudominio.com.
3. Implementa los protocolos SPF, DKIM y DMARC. Tu política DMARC debe estar configurada para poner en cuarentena o rechazar los mensajes. Esto demuestra que dispones de una protección activa contra la suplantación de identidad.
4. Solicite un certificado con sello de verificación. Elija una autoridad de certificación de confianza —DigiCert, GlobalSign o SSL.com—; todas ellas están disponibles a través de Bimimi.io.

En Bimimi.io, simplificamos todo este proceso: desde la verificación de las marcas registradas hasta la preparación de tu logotipo en formato SVG, pasando por la puesta en contacto con el abogado especializado en derecho de marcas adecuado.

Nuestra plataforma te permite cumplir de forma rápida y precisa con todos los requisitos de la ventilación mecánica controlada, sin complicaciones técnicas ni pasos olvidados.

Conclusión

El registro de tu logotipo como marca no es solo un trámite legal: es la base de una confianza digital tangible.

Esto permite demostrar la propiedad de la dirección, disuadir la suplantación de identidad y activar la visibilidad de BIMI en las principales bandejas de entrada, como Gmail y Apple Mail.

Tanto si eres una start-up en pleno crecimiento como una empresa consolidada, el registro de una marca es el primer paso acertado para garantizar la autenticidad de tu marca en los correos electrónicos.

Porque cuando tu logotipo aparece junto a tu mensaje, no solo debe parecer relevante: debe serlo de verdad.

 

El mantenimiento de tu implementación de BIMI es fundamental para garantizar una visibilidad y una confianza constantes en tu marca. A medida que tu marca evolucione, es posible que tengas que actualizar tu logotipo, renovar tu certificado o gestionar cambios más importantes, como un rediseño de la identidad visual. Esta guía describe los procedimientos que debes seguir en cada uno de estos casos.

Procedimiento para modificar el logotipo SVG.

La modificación de tu logotipo puede ir desde un simple retoque técnico hasta un rediseño visual completo. El proceso depende en gran medida del alcance de los cambios que se introduzcan en el aspecto visual del logotipo.

Escenario 1: corrección técnica sin cambios visuales Si solo actualizas el archivo SVG para mejorar su código, reducir su tamaño o reforzar su conformidad sin modificar el aspecto del logotipo, el procedimiento es sencillo:

1. Prepara el nuevo archivo SVG: realiza los cambios técnicos necesarios en tu archivo SVG, asegurándote de que siga cumpliendo con el formato SVG Tiny P/S.
2. Aloja el nuevo archivo: sube el archivo SVG actualizado a tu servidor HTTPS seguro. Se recomienda utilizar un nuevo nombre de archivo (por ejemplo, logo-v2.svg) para evitar cualquier problema de almacenamiento en caché relacionado con el archivo anterior.
3. Actualización del registro DNS de BIMI: modifica la etiqueta «l=» en tu registro TXT «default._bimi.tudominio.com» para que apunte a la URL del nuevo archivo SVG.
4. Verificación: una vez que haya finalizado la propagación del DNS, utiliza una herramienta de búsqueda de BIMI para comprobar que el registro es correcto y, a continuación, envía correos electrónicos de prueba para asegurarte de que el logotipo sigue mostrándose correctamente. En ese caso, tu VMC actual seguirá siendo válido.

Escenario 2: Rediseño visual del logotipo. Si modificas el aspecto visual de tu logotipo, el proceso es mucho más complejo y es fundamental llevarlo a cabo correctamente.

IMPORTANTE: Un VMC está vinculado criptográficamente a la representación visual exacta de su logotipo protegido por una marca registrada. Si cambia el aspecto visual de su logotipo, su VMC actual dejará de ser válido.

1. Registrar el nuevo logotipo como marca registrada: antes de nada, tu nuevo logotipo debe registrarse oficialmente en una oficina de propiedad intelectual reconocida. Se trata de un primer paso imprescindible.
2. Solicitar un nuevo VMC: una vez registrada la nueva marca, debes solicitar un VMC completamente nuevo que se corresponda con este nuevo logotipo.
3. Actualización de los archivos SVG y los registros DNS: una vez emitido el nuevo certificado VMC, deberá actualizar su registro DNS BIMI indicando tanto la nueva URL del logotipo SVG (en la etiqueta `l=`) como la nueva URL del certificado VMC (en la etiqueta `a=`).

Renovar su sistema de ventilación mecánica controlada.

Los certificados «Verified Mark», al igual que otros certificados digitales (como SSL/TLS), tienen una validez limitada (por lo general, de uno a tres años) y deben renovarse para garantizar el buen funcionamiento continuo de BIMI.

1. Inicie el proceso de renovación con antelación: comience el proceso de renovación al menos entre 30 y 60 días antes de la fecha de caducidad de su certificado VMC. Las autoridades de certificación, como DigiCert, y los socios, como BIMIMI, le enviarán recordatorios a su debido tiempo.
2. Proceso de revalidación: La autoridad de certificación (CA) deberá revalidar cierta información clave para garantizar que todo sigue estando actualizado y protegido. Esto suele incluir:
   • Verificación de la situación jurídica y operativa de su organización.
   • Verificación de tu control sobre el dominio.
   • Es fundamental comprobar si su marca registrada sigue vigente.

3. Emisión del nuevo VMC: una vez realizada la renovación, la autoridad de certificación emitirá un nuevo VMC con una nueva fecha de caducidad.

4. Actualice su registro DNS BIMI: el nuevo certificado VMC se alojará en una nueva dirección URL (o deberá sustituir el archivo antiguo por el nuevo). Debe actualizar la etiqueta «a=» de su registro TXT default._bimi para que apunte al nuevo archivo de cadena de certificados VMC. Si omite este paso, su logotipo BIMI dejará de mostrarse tan pronto como caduque el certificado anterior.

5. Verificación: una vez actualizado el DNS, comprueba el resultado con una herramienta de búsqueda de BIMI y envía correos electrónicos de prueba para asegurarte de que la transición se ha realizado sin problemas.

BIMIMI simplifica todo este proceso gestionando los recordatorios de renovación, guiándote a través de los requisitos de revalidación y asegurándose de que tus registros DNS se actualicen correctamente, lo que garantiza una presencia continua de tu marca en la bandeja de entrada.

¿Qué hay que hacer en caso de cambio de marca o de nombre de dominio?

Un cambio completo de identidad visual o de nombre de dominio principal es un acontecimiento importante que requiere una revisión total de tu implementación de BIMI.

En caso de cambio de identidad visual (nuevo nombre de marca y/o nuevo logotipo):

Un cambio de marca invalida toda tu configuración BIMI actual. Debes considerarlo como una nueva implementación.

1. Protege tu nueva marca: el primer paso consiste en registrar legalmente tu nuevo logotipo y/o nombre comercial como marca registrada.
2. Configurar la autenticación: configura los protocolos SPF y DKIM, así como una política DMARC estricta (p=reject o p=quarantine) para todos los nuevos dominios asociados al cambio de marca.
3. Solicitar un nuevo VMC: una vez registrada la nueva marca, debes solicitar un VMC completamente nuevo que refleje la nueva identidad de marca.
4. Actualiza todos los elementos BIMI: crea un nuevo archivo SVG que cumpla con los requisitos para el nuevo logotipo y publica un nuevo registro DNS BIMI que contenga la información actualizada sobre el logotipo (l=) y el VMC (a=).

En caso de cambiar el dominio principal (por ejemplo, de oldbrand.com a newbrand.com):

Un VMC está asociado a un dominio específico. Para cambiar de dominio es necesario un nuevo certificado y la migración de todos los protocolos de autenticación.

1. Migración de la autenticación del correo electrónico: debe configurar íntegramente los protocolos SPF, DKIM y DMARC para el nuevo dominio. Es fundamental aplicar de forma estricta la política DMARC del nuevo dominio (p=quarantine o p=reject) antes de continuar.
2. Obtener un nuevo VMC: debe solicitarlo y obtener un nuevo VMC destinado específicamente al nuevo dominio.
3. Publicar un nuevo registro DNS BIMI: crea el registro TXT default._bimi en el nuevo dominio, haciendo que apunte a tu logotipo SVG y al nuevo VMC.
4. Gestionar el dominio anterior: no abandones el dominio anterior. Mantén su política de aplicación de DMARC para evitar que los piratas informáticos se apropien de él y suplanten la identidad de tu antigua marca. También se recomienda configurar un reenvío de correos electrónicos o respuestas automáticas para informar a tus contactos del cambio de dominio.

Para hacer frente a estos cambios tan importantes, se requiere una planificación minuciosa y una ejecución experta.

BIMIMI ofrece servicios de asesoramiento estratégico para garantizar que la confianza depositada en su marca y su identidad visual se mantengan intactas durante los proyectos de renovación de marca o de cambio de dominio.

Una de las preguntas más frecuentes tras la implementación de BIMI es: «¿Por qué no se muestra mi logotipo? ». La visualización de un logotipo BIMI depende de la perfecta coincidencia de varios factores esenciales, que van desde la autenticación básica de los correos electrónicos hasta los requisitos específicos relativos a los certificados y los logotipos. Cuando el logotipo no se muestra, suele indicar un error de configuración en uno o varios de estos elementos interdependientes. Esta sección ofrece una guía de resolución de problemas sistemática que permite diagnosticar y resolver este tipo de incidencias.

Verificación de los registros DMARC, SPF y DKIM.

La aplicación rigurosa de los protocolos SPF, DKIM y, sobre todo, DMARC es una condición indispensable para el funcionamiento de BIMI. Cualquier problema con alguno de estos protocolos impedirá que se muestre tu logotipo.

1. Comprobación de la política DMARC:
   • Comprueba el registro DMARC: asegúrate de que hay un registro TXT DMARC publicado en la dirección _dmarc.tudominio.com. Utiliza una herramienta de verificación DMARC en línea (por ejemplo, MXToolbox o DMARCian) para comprobar su existencia y su sintaxis.
   • Política de aplicación: tu política DMARC (p=) debe estar configurada en «cuarentena» o «rechazo». Una política p=none impedirá que la mayoría de los proveedores de buzones de correo (MBP) muestren el logotipo de BIMI.
   • Etiqueta «pct=»: asegúrate de que la etiqueta «pct=» se omita (el valor predeterminado es 100 %) o se defina explícitamente como «pct=100». Un porcentaje inferior hará que la regla solo se aplique a una parte de tus correos electrónicos.
   • Índice de cumplimiento de DMARC: es fundamental que tus correos electrónicos legítimos presenten un alto índice de cumplimiento de DMARC (idealmente del 100 % para que se apliquen las medidas de cuarentena o rechazo). Consulte sus informes DMARC agregados (mediante una herramienta de análisis) para verificar que sus flujos de correo legítimos cumplan sistemáticamente con las reglas SPF o DKIM con alineación. Si sus correos electrónicos legítimos no cumplen con DMARC, su logotipo no aparecerá.

2. Validación de los registros SPF:

• Registro SPF único: tu dominio solo debe contener un único registro TXT SPF. La presencia de varios registros provocará que la validación SPF falle.
• Sintaxis correcta: comprueba que el registro comience por «v=spf1» y termine con un mecanismo de política, normalmente «-all» (rechazo estricto) o «~all» (rechazo flexible, aunque «-all» es preferible para el cumplimiento de BIMI).
• Incluir todos los remitentes: asegúrate de que todas las direcciones IP de envío legítimas, incluidas las de remitentes externos, estén correctamente registradas. Si falta algún remitente, la verificación SPF de esos correos electrónicos dará error.
• «Demasiadas consultas» (máx. 10): se trata de un error habitual. Si tu registro SPF contiene más de 10 consultas DNS, quedará invalidado. Utiliza una herramienta de simplificación de SPF o agrupa las entradas si es necesario.

3. Verificación de la firma DKIM:

• Clave pública publicada: comprueba que la clave o claves públicas DKIM estén correctamente publicadas como registros TXT en tu DNS, normalmente en la dirección selector._domainkey.tudominio.com.
• Firma del servidor de correo: asegúrate de que tu servidor o servidores de correo, o tu proveedor de servicios de correo electrónico (ESP), firmen correctamente los correos electrónicos salientes con DKIM, utilizando la clave privada y el selector adecuados.
• Alineación DMARC: para que la prueba DMARC se supere mediante DKIM, la etiqueta «d=» de la firma DKIM debe coincidir con el dominio que aparece en el encabezado «From:». Compruébalo en los encabezados sin procesar de un correo electrónico de prueba.

Acción: utiliza herramientas en línea fiables para comprobar cada una de estas entradas. Si detectas algún problema, corrígelo y espera a que la propagación del DNS se haya completado antes de volver a realizar la prueba.

Los servicios integrales de supervisión y asesoramiento sobre DMARC que ofrece BIMIMI permiten identificar y resolver estos problemas fundamentales con la precisión de un experto.

Problemas relacionados con el logotipo SVG (formato, tamaño, código).

Incluso con una autenticación perfecta de los correos electrónicos, un logotipo SVG mal formateado o mal alojado impedirá que se muestre el BIMI.

1. Conformidad con el formato SVG:
   • SVG Tiny P/S: Tu logotipo debe estar en formato SVG Tiny P/S (Portable/Secure) estricto. Los archivos SVG estándar suelen contener elementos no compatibles (por ejemplo, JavaScript o referencias externas) que se rechazan por motivos de seguridad.

• Formato: el logotipo debe tener un formato cuadrado (1:1). Aunque se pueden tolerar algunas variaciones, se recomienda el formato cuadrado para garantizar una visualización uniforme.

• Tamaño del archivo: asegúrate de que el tamaño del archivo SVG sea razonablemente pequeño para garantizar una carga rápida.

• Sin scripts ni referencias externas: es fundamental que el archivo SVG no contenga ningún script integrado, enlace externo ni animación. Estos elementos suponen un riesgo para la seguridad y provocarán el rechazo del logotipo.

1. Alojamiento del logotipo:
   • Solo HTTPS: el archivo SVG debe estar alojado en un servidor web accesible al público a través de HTTPS. No se permiten enlaces HTTP (no seguros).

• URL correcta en el registro BIMI: asegúrate de que la etiqueta «l=» de tu registro TXT BIMI apunte a la URL HTTPS exacta y correcta de tu archivo SVG. Comprueba que se pueda acceder a la URL directamente desde un navegador web.

• Encabezados CORS: algunos servidores pueden requerir encabezados CORS (Cross-Origin Resource Sharing) específicos para permitir que los proveedores de correo electrónico recuperen el logotipo SVG. Ponte en contacto con tu proveedor de alojamiento si los problemas de acceso persisten.

Acción: Vuelve a comprobar tu archivo SVG con un validador SVG Tiny P/S. Comprueba la URL de alojamiento y asegúrate de que los encabezados CORS sean correctos, si es necesario.

BIMIMI ofrece un servicio de conversión y validación al formato SVG para garantizar que tu logotipo cumpla con todos los estrictos requisitos técnicos de BIMI.

Caché del proveedor de correo electrónico y tiempo de propagación.

A veces, el problema no es un error técnico, sino simplemente una cuestión de tiempo o de almacenamiento en caché.

1. Tiempo de propagación del DNS:
   • Tras la publicación o actualización de registros DNS (SPF, DKIM, DMARC, registro TXT BIMI), la propagación de estos cambios por toda la red DNS mundial puede tardar varias horas, o incluso hasta 48 horas en casos excepcionales. Durante ese tiempo, es posible que algunos servidores de correo electrónico sigan viendo registros obsoletos.
   • Medida a tomar: Ten paciencia. Utiliza herramientas de verificación de la propagación del DNS para hacer un seguimiento del estado de actualización de tus registros.

1. Almacenamiento en caché por parte del proveedor de correo electrónico:
   • Incluso después de la propagación del DNS, algunos proveedores de buzones de correo (MBP) y clientes de correo electrónico pueden mantener los datos BIMI almacenados en caché durante un tiempo. Esto significa que es posible que tu logotipo no se muestre inmediatamente a todos los destinatarios, aunque todas las configuraciones sean correctas.
   • Acción: Sigue enviando correos electrónicos de prueba durante uno o dos días y comprueba que se reciben correctamente en diferentes plataformas. Borra la caché de tu propio cliente de correo electrónico o prueba con otro cliente o navegador si realizas las pruebas tú mismo.

Medida a tomar: espere el tiempo suficiente para que todos los cambios surtan efecto. Si ha esperado más de 48 horas y el problema persiste, probablemente se trate de un problema de configuración.

Problemas relacionados con la marca registrada o con VMC.

En el caso del BIMI compatible con VMC, algunos problemas relacionados con el certificado o el estado de la marca pueden impedir que se muestre el logotipo.

1. Validez y cadena de control del VMC:
   • Fecha de caducidad del certificado: al igual que todos los certificados digitales, su VMC tiene una fecha de caducidad. Asegúrese de que esté vigente y de que no haya caducado.
   • Cadena de certificados: la etiqueta `a=` de tu registro BIMI TXT debe apuntar a la cadena de certificados completa (tu certificado VMC, así como todos los certificados intermedios, que suelen ser proporcionados por la autoridad de certificación en forma de un único archivo PEM o de un conjunto de archivos). Si la cadena está incompleta o es incorrecta, la validación fallará.
   • Alojamiento de VMC: el archivo de la cadena de certificados VMC debe estar alojado en un servidor web accesible al público a través de HTTPS, y la URL debe ser correcta en tu registro TXT de BIMI.

2. Inconsistencia o inactividad en relación con la marca:

• Diferencia en el logotipo: el logotipo que figura en tu archivo SVG debe coincidir exactamente, desde el punto de vista visual, con tu marca registrada. Cualquier discrepancia, por mínima que sea, puede provocar que no se apruebe la validación VMC o que sea rechazada por los MBP.
• Estado de la marca: asegúrese de que el registro de su marca esté vigente y en regla ante la oficina de propiedad intelectual competente. Si ha caducado o ha sido revocado, su VMC dejará de ser válido o no podrá renovarse.
• Reconocimiento por parte de la autoridad de certificación: Comprueba que tu oficina de marcas esté reconocida por la autoridad de certificación que ha expedido tu VMC.

3. Etiqueta «a=» del registro TXT BIMI:

• Presencia de la etiqueta a=: para que el BIMI sea compatible con VMC, la etiqueta a= en tu registro TXT de BIMI es obligatoria y debe apuntar a la URL HTTPS de tu cadena de certificados VMC. Si esta etiqueta no está presente o apunta a una URL no válida, no se utilizará el VMC.

Acción: Comprueba la información relativa a tu VMC, asegúrate de que la cadena de certificados esté correctamente publicada y vinculada, y comprueba el estado de tu marca.

BIMIMI ofrece servicios de renovación para los sistemas de ventilación mecánica controlada (VMC), así como asesoramiento de expertos para garantizar la conformidad de su marca y su certificado, lo que asegura la exhibición continua de la etiqueta BIMI.

Si compruebas sistemáticamente cada uno de estos puntos, podrás identificar y resolver de forma eficaz los motivos por los que tu logotipo BIMI no aparece, garantizando así que tu marca aproveche al máximo su potencial en cuanto a confianza visual y reconocimiento en la bandeja de entrada.

 

La implementación de BIMI no es una tarea puntual, sino un compromiso continuo con la seguridad del correo electrónico y la integridad de la marca. Para apreciar plenamente su valor y garantizar su eficacia a largo plazo, es esencial supervisar su rendimiento y medir su impacto. Esto implica utilizar una combinación de herramientas técnicas y analizar indicadores clave de marketing para cuantificar el retorno de la inversión en materia de confianza.

Herramientas y paneles de control que permiten realizar un seguimiento del rendimiento de BIMI.

Para hacer un seguimiento del rendimiento del BIMI, es necesario adoptar un enfoque global, aprovechando datos procedentes de diversas fuentes. No existe un «cuadro de mando del BIMI» único, sino más bien un conjunto de herramientas que, combinadas, ofrecen una visión general completa de su estado y su impacto.

1. Plataformas de supervisión de DMARC:
   • Función: Se trata de tu capa de supervisión básica. Dado que el funcionamiento de BIMI se basa íntegramente en la aplicación de DMARC, estas plataformas constituyen tu primera línea de defensa. Transforman los complejos informes agregados de DMARC en paneles de control fáciles de usar.
   • Indicadores clave a tener en cuenta: supervisa tus índices de cumplimiento de DMARC. Una caída repentina en el número de validaciones DMARC para una fuente de envío legítima provocará directamente la desaparición de tu logotipo BIMI en esos correos electrónicos. Estas herramientas son esenciales para garantizar el correcto funcionamiento del sistema de autenticación subyacente.

2. Análisis de los proveedores de servicios de correo electrónico (ESP):

• Función: Aquí es donde se mide el impacto de BIMI en el marketing directo y la interacción. Su ESP (por ejemplo, Salesforce Marketing Cloud, Mailchimp, SendGrid) es la principal fuente de indicadores de rendimiento.

• Indicadores clave a tener en cuenta: céntrate en las tasas de apertura, las tasas de clics (CTR), las tasas de conversión y las tasas de denuncias por spam. La estrategia principal consiste en establecer una referencia clara del rendimiento antes de implementar BIMI, con el fin de medir con precisión la mejora obtenida posteriormente.

3. Herramientas para la verificación y validación de registros BIMI:

• Función: Se trata de herramientas de diagnóstico bajo demanda diseñadas para realizar comprobaciones puntuales, más que para llevar a cabo un seguimiento continuo del rendimiento. Las herramientas proporcionadas por el grupo BIMI y diversos proveedores externos especializados en seguridad de DNS y correo electrónico te permiten validar tu registro DNS BIMI en cualquier momento.

• Función: comprueban que tu registro BIMI TXT tenga el formato correcto, que tu logotipo SVG sea accesible y cumpla con los requisitos, y que tu VMC (si procede) sea válido y esté correctamente vinculado. Utiliza estas herramientas cada vez que realices un cambio o para llevar a cabo comprobaciones periódicas del estado del sitio.

El impacto del BIMI en las tasas de apertura y de clics.

Una de las ventajas más inmediatas y cuantificables de BIMI es su impacto positivo en los principales indicadores de interacción relacionados con los correos electrónicos. La presencia de un logotipo certificado constituye un poderoso elemento visual que influye directamente en el comportamiento de los destinatarios.

• Impacto en las tasas de apertura: en una bandeja de entrada saturada, tu logotipo certificado permite reconocer al instante tu correo electrónico y distinguirlo visualmente de los mensajes genéricos o potencialmente maliciosos. Este reconocimiento inmediato de la marca y la sensación de seguridad que inspira refuerzan la confianza incluso antes de que se abra el mensaje, lo que aumenta considerablemente las posibilidades de que el destinatario interactúe con él. Los estudios de casos realizados en el sector han demostrado sistemáticamente un notable aumento de las tasas de apertura tras la implementación de BIMI, y algunos informes señalan un incremento medio de más del 20 %. 📈

• Impacto en las tasas de clics (CTR): la confianza generada en la bandeja de entrada se mantiene una vez abierto el correo electrónico. Cuando un destinatario está convencido de la autenticidad del remitente, se muestra menos reacio a interactuar con el contenido, especialmente a hacer clic en los enlaces y las llamadas a la acción (CTA). Esta mayor confianza crea un entorno que se percibe como más seguro, lo que contribuye directamente al aumento de las tasas de clics y a la mejora del rendimiento general de la campaña.

Para medir este impacto de manera eficaz, su organización debería:

1. Establecer una referencia: analiza al menos entre 3 y 6 meses de datos sobre las tasas de apertura y de clics antes de la fecha de puesta en marcha de tu BIMI.
2. Seguimiento tras la implementación: una vez que el BIMI se haya implementado por completo y haya tenido tiempo de propagarse, sigue haciendo un seguimiento de estos mismos indicadores.
3. Comparar y cuantificar: compare los resultados posteriores a la implementación de BIMI con su referencia establecida para calcular el porcentaje de aumento y demostrar claramente el retorno de la inversión.

 

Análisis del compromiso de los clientes tras la implementación de BIMI.

El impacto global del BIMI va más allá de las primeras aperturas y los primeros clics, abarcando una gama más amplia de interacción con el cliente y percepción de la marca. Un análisis exhaustivo debería tener en cuenta estas ventajas más profundas y a largo plazo.

• Mejora de las tasas de conversión: al fomentar una interacción de mayor calidad por parte de destinatarios más confiados, el BIMI puede generar un aumento cuantificable de las acciones de conversión finales, ya sea una compra, una descarga o el envío de un formulario.
• Disminución del número de denuncias por spam: un logotipo certificado es garantía de fiabilidad, lo que reduce el riesgo de que los destinatarios clasifiquen por error tus correos electrónicos en la carpeta de spam. La disminución del número de denuncias por spam es un claro indicador de una mayor confianza y tiene la ventaja adicional de mejorar tu reputación general como remitente.
• Mejora de la entregabilidad y la llegada a la bandeja de entrada: aunque BIMI no es en sí mismo un protocolo de entregabilidad, la implementación de una política estricta de aplicación de DMARC es un requisito previo para ello. Al cumplir con DMARC, refuerzas intrínsecamente la reputación de remitente de tu dominio, lo que se traduce en mejores tasas de entrega en la bandeja de entrada y garantiza que un mayor número de tus mensajes lleguen a su destinatario.
• Fortalecimiento de la confianza en la marca y de su notoriedad: aunque esto sea más difícil de medir cuantitativamente, se trata sin duda de la ventaja más valiosa a largo plazo. El BIMI refuerza la identidad de su marca en cada interacción por correo electrónico, lo que genera una confianza inconsciente y mejora el reconocimiento de su marca. Ofrece a sus clientes una experiencia coherente, segura y profesional, lo que consolida su relación con su marca.
• Reducción de la carga de trabajo relacionada con el phishing: al permitir que sus clientes distingan más fácilmente sus correos electrónicos legítimos de los fraudulentos, es posible que observe una disminución en el número de tickets de asistencia y consultas relacionadas con intentos de phishing, lo que le permitirá liberar recursos valiosos.

En definitiva, analizar el impacto de BIMI implica tener una visión global: la mejora inmediata y cuantificable de los indicadores de rendimiento del correo electrónico, así como el fortalecimiento profundo y duradero de la confianza en la marca, la seguridad y la confianza de los clientes. Se trata de una inversión estratégica en la integridad de su canal de comunicación digital más importante.

No, el protocolo BIMI aún no es compatible con todos los proveedores de correo electrónico del mundo. Sin embargo, ha alcanzado una masa crítica y cuenta con el respaldo de la gran mayoría de los principales proveedores de correo electrónico (MBP) del mundo. Gracias a esta adopción generalizada, la implementación del protocolo BIMI permite a las marcas llegar a gran parte de las bandejas de entrada de particulares y empresas con una identidad visual verificada.

Situación actual de la compatibilidad (Gmail, Yahoo, Apple Mail, etc.).

La lista de proveedores compatibles con BIMI ya es bastante amplia y no deja de crecer, abarcando una parte importante del mercado mundial del correo electrónico.

• Gmail: Como uno de los principales proveedores de correo electrónico del mundo, el apoyo total de Google al estándar BIMI ha sido un factor clave para su adopción. Gmail exige un certificado «Verified Mark» (VMC) para mostrar el logotipo de la marca de forma destacada en el espacio reservado para el avatar de la bandeja de entrada.

• Yahoo Mail y AOL Mail: Como miembro de Verizon Media, Yahoo ha sido uno de los primeros y más fervientes defensores del estándar BIMI. Al igual que Gmail, estos servicios exigen un certificado VMC para mostrar el logotipo, lo que pone de relieve la importancia de una verificación de alta seguridad.

• Apple Mail: La adopción de BIMI por parte de Apple con iOS 16, iPadOS 16 y macOS Ventura ha supuesto un hito importante. En Apple Mail, los correos electrónicos procedentes de remitentes certificados por VMC incluyen la indicación «Certificado digitalmente», lo que, junto con el logotipo de la marca, constituye una clara y sólida garantía de confianza para los usuarios.

• Fastmail: Fastmail, un proveedor de correo electrónico muy apreciado y comprometido con la protección de la privacidad, ha apoyado sin descanso el estándar BIMI desde sus inicios.

• La Poste: como servicio postal nacional francés y uno de los principales proveedores de correo electrónico de Europa, el apoyo de La Poste al estándar BIMI pone de manifiesto la creciente adopción de este estándar a escala internacional.

• Cloudflare Area 1: el respaldo de una de las principales empresas de ciberseguridad pone de relieve el papel de BIMI como elemento esencial de una estrategia moderna de seguridad del correo electrónico.

Una excepción destacada: Microsoft

El principal proveedor que aún no ha implementado BIMI es Microsoft (para Outlook.com, Hotmail y Microsoft 365). Microsoft está desarrollando actualmente su propio sistema independiente, denominado «Brand Cards», que se encuentra en fase de prueba a pequeña escala y cuyos requisitos son diferentes. Aunque el sector mantiene la esperanza de que Microsoft admita BIMI en el futuro, por el momento, tu logotipo verificado no aparecerá en la mayoría de las bandejas de entrada de Outlook.

A pesar de ello, el alcance combinado de Gmail, Yahoo y Apple Mail basta por sí solo para convertir a BIMI en un estándar muy eficaz para llegar a la mayor parte de tu público.

El futuro del BIMI y su creciente adopción.

El futuro del BIMI se presenta muy prometedor, ya que su adopción se acelerará gracias a varios factores clave. No se trata de una tendencia especulativa, sino de un elemento fundamental en la evolución de la comunicación digital segura.

• El efecto de red: a medida que cada vez más grandes marcas adoptan el BIMI y los usuarios se acostumbran a ver logotipos verificados en su bandeja de entrada, se va creando una clara expectativa en cuanto a la confianza visual. Esto genera un potente efecto de red, en el que tanto las demás marcas como los proveedores de correo electrónico que no admiten este estándar se ven sometidos a una presión cada vez mayor para adoptarlo, con el fin de seguir siendo competitivos y satisfacer las expectativas de los usuarios.

• Impulsado por los requisitos fundamentales en materia de seguridad: el requisito previo esencial para la implementación de BIMI —una política DMARC aplicada de forma rigurosa— está pasando rápidamente de ser una «buena práctica» a convertirse en un «requisito ineludible». Los recientes requisitos de Google y Yahoo relativos a los remitentes imponen una autenticación fuerte de los correos electrónicos, lo que obliga a millones de empresas a implementar DMARC. Para estas organizaciones, BIMI constituye el siguiente paso lógico y útil: la recompensa visual del trabajo de seguridad que ahora están obligadas a realizar.
• Simplificación del proceso para obtener un VMC: A medida que el ecosistema va madurando, el proceso para obtener un VMC se vuelve más sencillo y accesible, gracias a la experiencia de socios como BIMIMI. A medida que se reduzcan las barreras de entrada, la tasa de adopción aumentará de forma natural en empresas de todos los tamaños.
• Una norma en constante evolución: el marco BIMI es evolutivo. Las futuras versiones podrían admitir diferentes tipos de indicadores o integrarse aún más con otros sistemas de verificación, lo que enriquecería aún más la experiencia en la bandeja de entrada y reforzaría la identidad de marca.

En conclusión, el BIMI está experimentando un claro y sostenido auge. Se está imponiendo cada vez más como el estándar mundial para la visualización de logotipos de marca verificados en los correos electrónicos. Para las marcas, la adopción temprana de esta tecnología supone una ventaja estratégica considerable, ya que les permite reforzar la confianza, mejorar su visibilidad y proteger sus comunicaciones por correo electrónico antes que nadie. Invertir en BIMI hoy es invertir en la credibilidad y la integridad futuras de la presencia digital de su marca.

Sí, aunque el BIMI ofrece ventajas considerables, su implementación es un proceso minucioso que implica requisitos y consideraciones específicas que las organizaciones deben comprender bien. No se trata de obstáculos arbitrarios; estos elementos forman parte integrante del diseño del sistema y garantizan que la confianza visual resultante se base en una seguridad y una autenticidad verificables.

La complejidad de la implementación para quienes no están familiarizados con el tema.

Aunque el resultado final del BIMI —un simple logotipo visible— parece sencillo, su implementación se basa en un proyecto complejo y multidisciplinar. Para las organizaciones que no cuentan con conocimientos especializados, esto puede suponer un gran reto.

• Se requieren conocimientos técnicos avanzados: para que la implementación tenga éxito, es necesario dominar a fondo los protocolos de autenticación de correo electrónico (SPF, DKIM, DMARC) y la gestión del DNS. La migración de un dominio a una política de aplicación DMARC (p=reject o p=quarantine) es un proceso delicado. Si no se lleva a cabo correctamente, puede provocar el bloqueo involuntario de correos electrónicos legítimos esenciales para la actividad.
• Coordinación entre departamentos: el BIMI no es solo un proyecto informático. Requiere una estrecha colaboración entre los departamentos de informática (para la gestión del DNS y los servidores de correo electrónico), jurídico (para la verificación de las marcas registradas) y de marketing (para los recursos relacionados con la marca y el logotipo). La coordinación de estas tareas puede suponer un gran reto interno.
• Formato específico de los recursos: el requisito de un logotipo en formato SVG Tiny P/S estricto es un detalle técnico que las herramientas gráficas estándar no admiten de forma predeterminada. La creación de un archivo que cumpla con los requisitos exige conocimientos y herramientas específicos.

Debido a esta complejidad, un enfoque «por cuenta propia» puede resultar laborioso, propenso a errores y arriesgado. Por eso resulta tan útil contar con la colaboración de un especialista como BIMIMI. Simplificamos esta complejidad ofreciendo un proceso guiado y supervisado por expertos para garantizar una implementación satisfactoria y segura.

Importancia del cumplimiento estricto de las normas.

El marco BIMI y los protocolos en los que se basa se fundamentan en normas técnicas rigurosas en las que la precisión es fundamental. No hay lugar para las aproximaciones; la más mínima desviación provocará un fallo.

• La autenticación debe ser impecable: una política DMARC con un pct=99 no es suficiente. Un registro SPF que contenga 11 consultas fallará. Un solo error tipográfico en un registro DKIM invalidará la firma. El sistema funciona según un principio binario: o supera la prueba sin fallos, o la suspende.
• Coincidencia exacta de la marca: para solicitar un VMC, el logotipo que figura en su archivo SVG debe coincidir exactamente, desde el punto de vista visual, con la marca figurativa registrada en la oficina de propiedad intelectual. Incluso las variaciones, las estilizaciones o las modificaciones menores pueden dar lugar al rechazo de su solicitud de VMC.
• Integridad del archivo SVG: el logotipo SVG debe cumplir estrictamente con el perfil seguro. Cualquier código superfluo, comentario o elemento no compatible puede provocar que los proveedores de correo electrónico lo rechacen.

Este rigor es una ventaja, no un defecto. Es lo que garantiza la integridad del sistema y asegura que un logotipo de verificación, cuando se muestra a un usuario, sea garantía de un nivel de autenticidad irreprochable.

Uso de marcas registradas.

Un aspecto importante a tener en cuenta, sobre todo para las marcas emergentes, es que el BIMI se basa en el marco jurídico oficial de las marcas registradas para garantizar su máximo nivel de confianza (el VMC).

• La marca registrada como requisito previo: para obtener un VMC, necesario para mostrar tu logotipo en Gmail, Yahoo, Apple Mail y otros servicios, tu logotipo debe ser una marca registrada legalmente y vigente ante una oficina de propiedad intelectual reconocida.
• Plazos y costes: El procedimiento de registro de una marca no es ni inmediato ni gratuito. Puede durar varios meses, o incluso más de un año, y conlleva gastos jurídicos y administrativos. Este plazo debe tenerse en cuenta en cualquier plan de implementación del BIMI.
• Un obstáculo para algunos: para las nuevas empresas o marcas que aún no han protegido su logotipo mediante una marca registrada, este requisito puede suponer un importante obstáculo inicial. Esto significa que no pueden beneficiarse de inmediato de todas las ventajas comprobadas de BIMI.
• «Marca figurativa» frente a «marca denominativa»: es importante señalar que una «marca denominativa» (una marca registrada cuyo nombre se presenta en forma de texto) suele ser insuficiente. El procedimiento VMC suele exigir una «marca figurativa» o un «logotipo», es decir, el registro del logotipo visual propiamente dicho.

Esta medida está bien fundamentada. Al integrar la identidad de marca digital en el sistema jurídico consolidado de las marcas registradas, la norma BIMI garantiza que solo el propietario legítimo y verificado de una marca pueda mostrar su logotipo, lo que ofrece un nivel de confianza que un sistema de autodeclaración nunca podría alcanzar. BIMIMI ofrece asesoramiento experto sobre estos requisitos de marcas registradas, que constituyen un elemento central de nuestro proceso de preevaluación y solicitud de VMC.

Actualización: diciembre de 2025 — Verificado por el equipo de Bimimi.io

El protocolo BIMI (Brand Indicators for Message Identification) es ahora compatible con un número sin precedentes de proveedores de correo electrónico. A medida que cada vez más servicios de correo electrónico adoptan la visualización de logotipos verificados, es fundamental que cualquier marca que desee implementar el protocolo BIMI sepa qué clientes de correo electrónico admiten esta tecnología y si exigen un certificado VMC (Verified Mark Certificate) o un certificado CMC (Common Mark Certificate).

En esta página se enumeran todos los proveedores de correo electrónico y clientes de correo conocidos, así como su nivel actual de compatibilidad con BIMI.

Resumen rápido: ¿qué significan los términos BIMI, VMC y CMC?

• El BIMI (Brand Indicators for Message Identification) permite a las marcas mostrar su logotipo oficial junto a los correos electrónicos autenticados.
• El certificado VMC (Verified Mark Certificate) acredita que el logotipo pertenece a una marca registrada, lo que garantiza la máxima confianza y permite que aparezca la marca de verificación azul en Gmail y Apple Mail.
• El CMC (Common Mark Certificate) ofrece una solución más flexible a las marcas que no disponen de marcas registradas, lo que lo convierte en una opción ideal para una implementación de BIMI más rápida o más económica.

Tanto los certificados VMC como los CMC pueden emitirse directamente a través de Bimimi.io para garantizar que tu registro BIMI cumpla con las normas técnicas y de conformidad.

Lista completa de clientes de correo electrónico compatibles con BIMI (edición de 2025)

Buenas prácticas para la implementación de BIMI

Para optimizar la visibilidad de tu logotipo en todas las bandejas de entrada:

1. Configura SPF, DKIM y una política DMARC estricta (p=reject o p=quarantine).
2. Aloja tu logotipo SVG Tiny PS a través de HTTPS.
3. Publica un registro TXT BIMI válido en el DNS, haciendo referencia al archivo SVG y (si procede) a tu archivo VMC/CMC.
4. Adquiera un certificado VMC o CMC a través de un proveedor autorizado, como Bimimi.io: esto garantiza el cumplimiento normativo y una validación fiable.
5. Prueba de entregabilidad en Gmail, Yahoo, Apple, Fastmail y los principales proveedores europeos (Orange, La Poste, etc.).

Por qué es importante para la capacidad de entrega y la confianza

La activación de BIMI permite mejorar:

• Visibilidad de la marca: tu logotipo certificado aparece en la bandeja de entrada de los usuarios.
• Capacidad de entrega: los proveedores de correo electrónico dan un trato más favorable a los dominios autenticados.
• Confianza de los usuarios: el distintivo de verificación ayuda a evitar la suplantación de identidad y el phishing.

Con Bimimi.io, tu marca puede implementar BIMI más rápidamente —desde la solicitud del certificado hasta la validación del DNS— gracias a nuestro proceso de integración guiado y a nuestra configuración lista para API dirigida a los proveedores de correo electrónico.

La decisión de no implementar BIMI —y, por extensión, la política DMARC obligatoria que conlleva— no es una decisión neutra. En un entorno digital cada vez más complejo, esto equivale a aceptar pasivamente riesgos importantes y evitables que pueden perjudicar la seguridad, la reputación y la eficacia del marketing de su marca.

Vulnerabilidad al phishing y al robo de identidad.

El riesgo más grave asociado a la falta de implementación del marco DMARC/BIMI es exponer a su marca y a sus partes interesadas a la ciberdelincuencia.

Si no tienes activada una política DMARC (p=reject o p=quarantine), tu dominio es un blanco fácil para la suplantación directa de dominio. Esto significa que los actores maliciosos pueden enviar fácilmente correos electrónicos que parecen provenir directamente de su marca (@su marca.com), dirigiéndose así a sus clientes, empleados y socios. Estos correos electrónicos fraudulentos se utilizan para llevar a cabo diversos ataques devastadores:

• Phishing: técnica que consiste en incitar a los destinatarios a revelar información de identificación confidencial, como contraseñas y datos financieros.
• Difusión de software malicioso: incitar a los usuarios a descargar archivos adjuntos maliciosos o a hacer clic en enlaces que instalan ransomware o software espía.
• Fraude financiero: envío de facturas o solicitudes de transferencia bancaria fraudulentas que parecen proceder de una fuente interna legítima.

Cuando estos ataques tienen éxito, las consecuencias son dobles: tus clientes sufren pérdidas directas y la reputación de tu marca se ve gravemente dañada por su asociación con este fraude. No proteger tu dominio con DMARC equivale a dejar la puerta abierta a los suplantadores, lo que conlleva consecuencias económicas, legales y reputacionales considerables.

Pérdida de confianza y de oportunidades comerciales.

En una bandeja de entrada saturada, la confianza es una moneda de cambio. Al renunciar a BIMI, estás cediendo una ventaja considerable a tus competidores que sí lo han adoptado.

• Aparición de un «déficit de confianza»: a medida que cada vez más marcas muestran logotipos de verificación, los usuarios tienden cada vez más a considerarlos una garantía de legitimidad. Un correo electrónico enviado por su marca sin esta confirmación visual puede, en comparación directa, parecer menos profesional, menos seguro y menos digno de confianza. Esto crea un «déficit de confianza» que puede llevar a los destinatarios a dudar o a ignorar sus comunicaciones.
• Oportunidades de marketing perdidas: esta pérdida de confianza se traduce directamente en un descenso del rendimiento de las campañas de marketing.
  • Descenso en las tasas de apertura: sin un logotipo visualmente distintivo y que inspire confianza, tus correos electrónicos corren un mayor riesgo de pasar desapercibidos en una bandeja de entrada saturada, lo que se traducirá en una disminución de las tasas de apertura.
  • Disminución de la interacción: la falta de verificación visual puede hacer que los destinatarios se muestren más cautelosos a la hora de interactuar con tu contenido, lo que se traduce en una disminución de las tasas de clics.
  • Impresiones de marca perdidas: cada correo electrónico es una oportunidad para promocionar tu marca. Sin BIMI, estás perdiendo millones de impresiones potenciales y no consigues reforzar la identidad de tu marca en uno de los puntos de contacto digitales más importantes.

En definitiva, no implementar BIMI significa que tus correos electrónicos serán menos eficaces, lo que reducirá el retorno de la inversión de toda tu estrategia de marketing por correo electrónico.

Consecuencias para la capacidad de entrega en ausencia de una autenticación fiable.

Si bien el BIMI es en sí mismo un estándar visual, el requisito previo que impone —a saber, una autenticación rigurosa (aplicación del protocolo DMARC)— es ahora indispensable para garantizar la entregabilidad básica de los correos electrónicos.

Los principales proveedores de correo electrónico, entre ellos Google y Yahoo, han establecido requisitos estrictos para los remitentes. Estos requisitos obligan a todos los remitentes, especialmente a aquellos que envían mensajes masivos, a disponer de un sistema de autenticación sólido, que incluya, entre otros, los protocolos SPF y DKIM, así como una política DMARC.

Las consecuencias del incumplimiento de las obligaciones son graves y directas:

• Mayor riesgo de acabar en la carpeta de correo no deseado: los correos electrónicos enviados desde dominios que no cumplen correctamente las normas DMARC tienen muchas más probabilidades de ser filtrados directamente a la carpeta de correo no deseado del destinatario.
• Rechazo sin más: en muchos casos, los servidores de correo electrónico ahora simplemente rechazan los mensajes procedentes de dominios no autenticados, lo que significa que tu correo electrónico ni siquiera llegará a su destinatario.

El riesgo es, por tanto, evidente: renunciar a BIMI suele equivaler a descuidar la autenticación DMARC, que hoy en día es imprescindible para que tus mensajes lleguen a la bandeja de entrada. En el ecosistema actual del correo electrónico, una autenticación sólida es el precio que hay que pagar para garantizar la entregabilidad. BIMI es la prueba visual de ello, y descuidar este marco equivale a correr el riesgo de que tus mensajes simplemente no se vean.

Para ayudarte a orientarte en el panorama técnico de la autenticación del correo electrónico y la identidad de marca, este glosario ofrece definiciones concisas de los términos y acrónimos más importantes que se utilizan en el contexto de BIMI.

Breves definiciones de los términos técnicos utilizados.

• Alineación (DMARC): El principio fundamental de DMARC. Exige que el dominio que aparece en el encabezado «De:» visible de un correo electrónico coincida con el dominio autenticado por SPF (el dominio del remitente del sobre) o DKIM (el dominio de la firma). Esto es lo que vincula la autenticación técnica con la identidad de marca visible.
• BIMI (Brand Indicators for Message Identification): un estándar de correo electrónico que permite mostrar el logotipo verificado de una marca junto a los mensajes de correo electrónico autenticados en la bandeja de entrada del destinatario, lo que sirve como indicador visual de confianza y autenticidad.
• CMC (Certificado de marca común): Término informal que se utiliza para describir una implementación de BIMI que emplea un logotipo autodeclarado y no verificado. No implica ningún certificado formal y ofrece un menor nivel de confianza y una visualización inconsistente en comparación con un VMC.
• DKIM (DomainKeys Identified Mail): un método de autenticación del correo electrónico que proporciona una firma digital criptográfica a los mensajes. Esta firma verifica que el contenido del correo electrónico no ha sido alterado durante el tránsito y que procede del dominio indicado.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): un protocolo de autenticación, políticas y generación de informes para el correo electrónico. Indica a los servidores de correo receptores cómo gestionar los mensajes que no superan las comprobaciones SPF o DKIM y proporciona informes sobre el tráfico de correo electrónico, protegiendo así a un dominio contra la suplantación de identidad y el phishing.
• DNS (Sistema de Nombres de Dominio): la «agenda telefónica» jerárquica de Internet. Es donde se publican todos los registros de SPF, DKIM, DMARC y BIMI, lo que permite a los servidores de correo consultarlos para verificar la autenticidad de los mensajes de correo electrónico.
• ESP (proveedor de servicios de correo electrónico): una plataforma o servicio externo que envía correos electrónicos en nombre de otras empresas (por ejemplo, plataformas de marketing como Mailchimp o servicios transaccionales como SendGrid).
• Encabezado (correo electrónico): La sección de metadatos de un correo electrónico que contiene detalles técnicos sobre su recorrido, incluyendo el remitente, el destinatario, la fecha y los resultados de las comprobaciones de autenticación, como SPF, DKIM y DMARC.
• MBP (proveedor de buzones de correo): empresa que ofrece servicios de buzones de correo electrónico a los usuarios finales, como Google (Gmail), Microsoft (Outlook), Yahoo y Apple.
• p= (Etiqueta de política en DMARC): La etiqueta obligatoria en un registro DMARC que especifica la política para gestionar el correo no autenticado: none (solo supervisar), quarantine (enviar a la carpeta de spam) o reject (bloquear el correo electrónico).
• pct= (etiqueta de porcentaje en DMARC): una etiqueta opcional en un registro DMARC que permite una implementación gradual de la política de cuarentena o rechazo, aplicándola únicamente a un determinado porcentaje de los correos electrónicos que no superan la validación.
• Phishing: tipo de delito cibernético en el que los atacantes envían correos electrónicos fraudulentos haciéndose pasar por organizaciones legítimas con el fin de engañar a los destinatarios para que revelen información confidencial, como credenciales de acceso o datos financieros.
• RFC (Solicitud de comentarios): Documentos oficiales del Grupo de Trabajo de Ingeniería de Internet (IETF) que definen las especificaciones técnicas y las normas de los protocolos de Internet, incluidos SPF, DKIM y DMARC.
• Selector (DKIM): Identificador único utilizado en una firma DKIM que indica al servidor receptor qué clave pública concreta debe buscar en los registros DNS del remitente para su verificación.
• SPF (Sender Policy Framework): un método de autenticación del correo electrónico que permite al propietario de un dominio especificar qué direcciones IP están autorizadas a enviar correos electrónicos en nombre de su dominio.
• Suplantación de identidad: el acto de falsificar la dirección del remitente de un correo electrónico para que parezca que procede de otra persona, una táctica habitual en las campañas de phishing y spam.
• SVG (Scalable Vector Graphics): un formato de imagen basado en vectores. Para BIMI, se requiere un perfil específico y muy restringido denominado SVG Tiny P/S (Portable/Secure) para el archivo del logotipo, con el fin de garantizar la seguridad.
• Marca comercial: símbolo, diseño o frase registrado legalmente que identifica a una marca y la distingue de otras. Una marca comercial registrada es un requisito imprescindible para obtener un VMC.
• VMC (Verified Mark Certificate): Certificado digital emitido por una autoridad de certificación de confianza que verifica la titularidad de una organización sobre un logotipo registrado legalmente como marca comercial. Es la credencial imprescindible para garantizar una visualización coherente y fiable del logotipo a través de BIMI en los principales proveedores de correo electrónico.

Mientras que el protocolo SPF verifica la identidad del remitente a partir de su dirección IP, el protocolo DKIM (DomainKeys Identified Mail) ofrece un método criptográfico que permite verificar la integridad y el origen del propio contenido del correo electrónico. Actúa como una firma digital, garantizando a los destinatarios que un correo electrónico procede efectivamente del remitente indicado y que no ha sido alterado durante su transmisión. Asociado al protocolo SPF, el protocolo DKIM constituye la base sobre la que se asientan el DMARC y, por extensión, el BIMI, para una autenticación sólida de los correos electrónicos.

¿Qué es DKIM y cómo me permite autenticar mis mensajes?

El DKIM (DomainKeys Identified Mail) es un estándar de autenticación de correo electrónico que utiliza criptografía de clave pública para permitir que una organización firme digitalmente sus mensajes de correo electrónico salientes. A continuación, los servidores de correo electrónico de destino verifican esta firma.

Cómo se autentifican tus mensajes:

1. Generación de un par de claves: el dominio emisor genera un par de claves criptográficas: una clave privada y una clave pública.
   • El servidor emisor mantiene en secreto la clave privada, que se utiliza para generar la firma digital de cada correo electrónico enviado.
   • La clave pública se publica en los registros DNS del remitente, lo que la hace accesible para cualquier servidor de correo electrónico destinatario.

2. Firma de los correos electrónicos: cuando se envía un correo electrónico, el servidor de correo del remitente utiliza su clave privada para crear un hash criptográfico único (la firma DKIM) a partir de determinadas partes específicas del correo electrónico (por ejemplo, los campos de encabezado como «De», «Asunto», «Fecha» y, a menudo, el cuerpo del mensaje). A continuación, esta firma se inserta en el encabezado del correo electrónico, normalmente en forma de un campo «DKIM-Signature».

3. Verificación de la firma: en cuanto recibe el correo electrónico, el servidor de correo del destinatario extrae el dominio del remitente y un «selector» (identificador único de la clave pública en cuestión) del encabezado DKIM-Signature. A continuación, consulta el DNS del remitente para obtener la clave pública asociada a ese dominio y a ese selector.

4. Descifrado y comparación: el destinatario utiliza la clave pública obtenida para descifrar la firma digital y volver a calcular el valor hash de las partes pertinentes del correo electrónico. Si el valor hash recalculado coincide con el que figura en la firma, se valida la autenticación DKIM. Esto confirma dos elementos esenciales:

• Este correo electrónico ha sido enviado efectivamente por un servidor autorizado que posee la clave privada del dominio de origen.
• Las partes firmadas del correo electrónico no han sido modificadas desde que se estampó la firma.

Este proceso ofrece una garantía sólida sobre la integridad del mensaje y la autenticidad del remitente, completando así la verificación basada en la dirección IP del protocolo SPF.

Implementación de DKIM: pasos técnicos y buenas prácticas.

La implementación de DKIM es más compleja que la de SPF y requiere una coordinación entre la gestión del DNS y la configuración del servidor de correo.

1. Generar claves DKIM:
   • La mayoría de los proveedores de servicios de correo electrónico (ESP) o de software de servidor de correo (por ejemplo, Postfix o Exchange con herramientas de terceros) ofrecen funciones que permiten generar pares de claves DKIM. Por lo general, se le proporcionará una clave pública, que suele presentarse en forma de una larga cadena de caracteres.
   • También se elige un selector (por ejemplo, s1, default, k1). Se trata de un identificador único que sirve para distinguir varias claves DKIM para un mismo dominio, lo que permite rotar las claves sin interrumpir el servicio.

2. Publicar la clave pública en el DNS:

• Crea un registro TXT en el DNS de tu dominio. El nombre de host de este registro debe seguir el siguiente formato: selector._domainkey.tudominio.com (por ejemplo, s1._domainkey.example.com).
• El valor de este registro TXT corresponderá a la clave pública, que suele comenzar por v=DKIM1; p=… (donde p= corresponde a tu clave pública). Algunos proveedores pueden utilizar la etiqueta k=rsa para especificar el algoritmo.

3. Configurar el servidor de correo saliente/ESP:

• Configura tu servidor de correo electrónico o tu proveedor de servicios de correo electrónico (ESP) para que firme todos los correos electrónicos salientes con tu clave privada, utilizando el selector especificado y firmando los encabezados correspondientes. Este paso es fundamental y suele implicar la activación de la función de firma DKIM en la configuración de tu plataforma de correo electrónico.
• Asegúrese de que la etiqueta «d=» (dominio de firma) de la firma DKIM de los correos electrónicos salientes coincida con el dominio de su organización para garantizar el cumplimiento de DMARC.

4. Verificación y ensayos:

• Una vez publicado el registro DNS y configurado tu remitente, envía un correo electrónico de prueba a un servicio que ofrezca verificación DKIM (por ejemplo, un correo electrónico de diagnóstico procedente de una plataforma de análisis DMARC, o simplemente un correo electrónico enviado a una dirección de Gmail cuyos detalles podrás comprobar haciendo clic en «Ver original»).
• Comprueba que el encabezado DKIM-Signature esté presente y que la firma sea válida.

5. Rotación de las llaves:

• Para reforzar la seguridad, se recomienda renovar periódicamente (por ejemplo, una vez al año) las claves DKIM. Esto implica generar un nuevo par de claves, publicar la nueva clave pública con un nuevo selector en el DNS, actualizar tu remitente para que utilice la nueva clave, realizar una verificación y, a continuación, desactivar la clave antigua y eliminar su registro público.

Buenas prácticas:

• Campos esenciales: asegúrate de que los campos «De», «Asunto», «Fecha» y «Para» estén siempre incluidos en la firma DKIM.

• Respetar la coincidencia del campo «d=»: en el caso de DMARC, el campo «d=» (dominio firmante) de la firma DKIM debe coincidir con el dominio del encabezado «From:» visible, tanto en modo estricto como en modo flexible.

• Subdominios independientes: si utiliza subdominios con fines de envío distintos, considere la posibilidad de utilizar claves DKIM específicas para cada uno de ellos, con el fin de aislar cualquier posible vulneración de seguridad.

 

DKIM y la capacidad de entrega: una relación directa

El protocolo DKIM tiene un impacto profundo y directo en la capacidad de entrega del correo electrónico, ya que constituye un indicador de confianza esencial para los proveedores de servicios de correo electrónico (PSCE).

• Una señal de confianza para los MBP: cuando llega un correo electrónico con una firma DKIM válida, esto indica al servidor destinatario que el contenido del mensaje es auténtico y no ha sido modificado, y que procede de una fuente verificada. Esto refuerza considerablemente la credibilidad del correo electrónico ante los filtros antispam del MBP.

• Reducción del número de mensajes clasificados como spam: los correos electrónicos que no superan la prueba DKIM o que no incluyen una firma DKIM tienen muchas más probabilidades de ser marcados como spam o intentos de phishing. Sin esta prueba criptográfica de origen e integridad, los proveedores de correo electrónico tienen menos motivos para confiar en el mensaje, incluso si la prueba SPF se supera. Una firma DKIM válida permite que los correos electrónicos legítimos eludan estos filtros.

• Mejora de la reputación: una autenticación DKIM coherente y eficaz contribuye positivamente a la reputación del remitente de tu dominio. Con el tiempo, esta reputación se traduce en una mejor entrega de tus correos electrónicos en la bandeja de entrada. Por el contrario, una configuración DKIM defectuosa o inexistente puede perjudicar gravemente tu reputación, lo que provocaría un deterioro general de la capacidad de entrega.

• Activación de la aplicación de DMARC: DKIM es uno de los principales métodos de autenticación validados por DMARC. Para BIMI, es obligatorio implementar correctamente DMARC con una política p=quarantine o p=reject. El papel de DKIM en el cumplimiento de los requisitos de alineación de DMARC lo hace indispensable para garantizar una excelente capacidad de entrega en el contexto de la aplicación de DMARC y, por lo tanto, para aprovechar al máximo las ventajas de BIMI en materia de confianza visual.

En resumen, una configuración DKIM bien implementada y gestionada no es solo un trámite técnico; es un elemento esencial de tu estrategia de entregabilidad del correo electrónico, que determina directamente si tus mensajes llegan a la bandeja de entrada de sus destinatarios y que contribuye a reforzar la confianza en tu marca.

La implementación eficaz de BIMI se basa en una política de autenticación de correos electrónicos sólida y aplicada de forma rigurosa. El mecanismo que garantiza esta aplicación es DMARC (Domain-based Message Authentication, Reporting, and Conformance), una especificación técnica definida en el RFC 7489 de la IETF. DMARC no es un nuevo método de autenticación, sino más bien una capa de políticas y generación de informes que aprovecha los resultados de SPF (RFC 7208) y DKIM (RFC 6376) para ofrecer protección a nivel de dominio contra la suplantación de identidad.

¿Qué es DMARC y cuál es su papel fundamental en la seguridad del correo electrónico?

DMARC permite al propietario de un dominio publicar, en sus registros DNS, una política que especifica cómo deben tratar los servidores de correo destinatarios los mensajes electrónicos que no superan los controles de autenticación. Su función principal es subsanar las deficiencias de los protocolos SPF y DKIM. Mientras que SPF valida la dirección IP del servidor remitente y DKIM verifica la integridad del mensaje mediante una firma criptográfica, ninguno de estos protocolos impide por sí solo la suplantación de la dirección «De:» visible para el usuario.

DMARC resuelve este problema introduciendo el concepto de «alineación de identificadores». Un correo electrónico solo se considera «conforme a DMARC» si supera las verificaciones SPF o DKIM y si el dominio utilizado en dichas verificaciones coincide con el dominio que figura en el encabezado «De:». Esta alineación es el eslabón esencial que garantiza que la identidad autenticada se corresponde con la identidad visible del remitente, lo que convierte a DMARC en el medio de control definitivo contra la suplantación directa de dominio y el phishing. Para BIMI, una política DMARC en vigor (cuarentena o rechazo) constituye la prueba irrefutable de que el propietario del dominio ha protegido su canal.

Funcionamiento de DMARC: alineación, políticas y etiquetas.

El servidor de correo electrónico destinatario aplica la lógica DMARC basándose en las etiquetas publicadas en el registro DNS DMARC del remitente.

• Alineación de identificadores: se trata del mecanismo de validación principal.
  • Alineación SPF: compara el dominio que aparece en el comando MAIL FROM (también denominado «Return-Path» o «envelope-from») con el que figura en el encabezado From:.
  • Verificación DKIM: compara el dominio indicado en la etiqueta «d=» de la firma DKIM con el dominio que aparece en el encabezado «From:».
  • Modos (Estricto frente a Flexible): La alineación se puede definir según uno de los dos modos mediante las etiquetas «aspf» y «adkim» en el registro DMARC:
    • Estrictivo: requiere una coincidencia exacta del dominio. Para el SPF, mail.example.com no coincidirá con example.com.
    • Flexible (r): los dominios organizativos deben coincidir. mail.example.com coincidirá con example.com. El parámetro «Flexible» es el predeterminado y el más habitual.

• Políticas y modificadores: estas etiquetas indican al destinatario cómo debe actuar.
  • p= (Política): instrucción principal para el dominio raíz.
    • p=none: Modo «supervisión». No interviene en caso de fallo en la transmisión de los correos electrónicos, pero recopila datos y envía informes. Imprescindible durante la fase inicial de implementación.
    • p = cuarentena: envía los correos electrónicos que no se pueden entregar a una ubicación distinta de la bandeja de entrada (normalmente, la carpeta de correo no deseado).
    • p=reject: indica al destinatario que rechace sin más la entrega de los mensajes que no se puedan entregar. Se trata del objetivo final, que ofrece la máxima protección.

• sp= (Política de subdominios): aplica la política seleccionada a todos los subdominios que no cuenten con su propio registro DMARC explícito. Esto es fundamental para evitar que los piratas informáticos se aprovechen de los subdominios desprotegidos (por ejemplo, promo.votremarque.com).
• pct= (porcentaje): una etiqueta esencial para las implementaciones progresivas. pct=10 significa que la política de cuarentena o rechazo solo se aplicará al 10 % de los mensajes rechazados, lo que permite a los administradores probar de forma segura el impacto de su política antes de implementarla por completo.

Informes DMARC: cómo entender los datos y sacarle partido.

DMARC ofrece dos mecanismos de generación de informes muy útiles, definidos por las etiquetas rua y ruf.

• Informes agregados (RUA): se trata de archivos XML que se envían periódicamente (normalmente a diario) a la dirección indicada en la etiqueta «rua». Contienen datos generales sobre todos los mensajes que afirman proceder de su dominio, en particular:
  • La dirección IP de origen (<source_ip>).
  • El número de mensajes procedentes de esta fuente (<count>).
  • La directiva DMARC (<directiva>).
  • Los resultados de las verificaciones SPF y DKIM, incluidos los dominios utilizados y si han cumplido los criterios de alineación (<policy_evaluated>). Estos informes son imprescindibles para elaborar un inventario completo de todos los servicios, legítimos o no, que envían correos electrónicos en tu nombre.

• Informes de análisis (RUF): se trata de copias editadas y en tiempo real de correos electrónicos individuales que no han superado la validación DMARC, enviadas a la dirección indicada en la etiqueta ruf. Estos informes están en formato AFRF (Authentication Failure Reporting Format) y se utilizan principalmente para el análisis de investigación destinado a investigar campañas específicas de suplantación de identidad o a resolver problemas complejos relacionados con la autenticación. Debido a su volumen y a sus posibles implicaciones en materia de confidencialidad, se utilizan con menos frecuencia que los informes agregados.

La aplicación de medidas basadas en los datos es un proceso sistemático: utilice los informes de RUA para identificar todas las fuentes de envío. Para cada fuente legítima, asegúrese de que sus correos electrónicos estén correctamente firmados con DKIM y/o se envíen desde una dirección IP incluida en su registro SPF, con el fin de garantizar el pleno cumplimiento. Cualquier fuente que no pueda cumplir con los requisitos debe desactivarse.

¿Cómo configurar un registro DMARC? Guía técnica.

Es fundamental adoptar un enfoque gradual y basado en datos para evitar bloquear el tráfico de correo electrónico legítimo.

1. Auditoría previa: antes de crear un registro DMARC, realice una auditoría exhaustiva de sus registros SPF y de sus prácticas de firma DKIM. Asegúrese de que todos los remitentes externos conocidos (por ejemplo, plataformas de marketing, servicios de correo transaccional, sistemas de RR. HH.) estén correctamente configurados.
2. Configuración inicial (supervisión): publica un registro TXT en _dmarc.tudominio.com con una política no restrictiva para empezar a recopilar datos.
   • Ejemplo de registro: v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; adkim=r; aspf=r;
     • Esta configuración establece una política de supervisión para el 100 % de los mensajes, solicita informes agregados y análisis detallados, y configura ambos modos de alineación en «flexible».

3. Análisis y corrección: durante varias semanas o meses, analiza los informes RUA con una herramienta de análisis DMARC. El objetivo es identificar y resolver los problemas de autenticación y alineación de todos los servicios de envío legítimos hasta que tus informes indiquen un cumplimiento de DMARC cercano al 100 % para el tráfico conocido.

4. Implementación gradual: refuerza tu nivel de seguridad de forma gradual.

• Sustituye «p» por «cuarentena» y «pct» por «5» para empezar a poner en cuarentena una pequeña parte de los correos electrónicos que no cumplen los requisitos.
• Aumente gradualmente el porcentaje (25 %, 50 %, etc.) hasta llegar al 100 %, asegurándose de que ningún correo legítimo se vea afectado.
• Repita el proceso para p=rechazo, comenzando con p=rechazo; pct=5; y aumentando progresivamente hasta p=rechazo; pct=100; para una aplicación estricta.

¿Cumple mi dominio con la norma DMARC? Herramientas de verificación.

En el marco de BIMI, un dominio se considera «conforme con DMARC» cuando su política está definida como p=quarantine o p=reject con pct=100 (o, si se omite el parámetro pct, el valor por defecto es 100).

Existen diversas herramientas en línea que permiten consultar los registros DMARC. Una herramienta de verificación completa debe:

• Comprueba si hay un registro TXT en el subdominio _dmarc.
• Comprobar la sintaxis del registro DMARC y notificar cualquier error.
• Comprueba que se pueda acceder a los buzones que figuran en las etiquetas rua/ruf.
• Mostrar la estrategia actual, el porcentaje y los parámetros de alineación.

Aunque estas herramientas permiten verificar el cumplimiento de su política publicada, el verdadero cumplimiento se basa en los datos subyacentes que demuestran que sus correos electrónicos legítimos superan la autenticación. Como parte de nuestro proceso de emisión de certificados VMC, BIMIMI ofrece un análisis de su postura DMARC realizado por expertos, garantizando así que su configuración no solo sea sintácticamente correcta, sino que también esté lista desde el punto de vista operativo para una implementación de BIMI exitosa y segura.

Aunque SPF, DKIM y DMARC son protocolos de autenticación de correo electrónico independientes, su verdadero potencial —y el requisito previo para la implementación de BIMI— reside en su funcionamiento sinérgico. Forman un sistema de defensa integrado que verifica la identidad del remitente, la integridad del mensaje y el cumplimiento de las políticas, lo que da como resultado la confianza visual que ofrece BIMI. Tomados individualmente, cada protocolo aporta una capa de seguridad; juntos, establecen un estándar impenetrable en materia de autenticidad de los correos electrónicos.

Esquema explicativo del proceso combinado.

Para ilustrar su proceso combinado, tomemos como ejemplo la siguiente secuencia simplificada de pasos que tienen lugar cuando se envía y se recibe un correo electrónico:

1. Envío de correos electrónicos: se envía un correo electrónico desde [email protected] a través de un servidor de correo legítimo.
   • El servidor remitente añade una firma DKIM (utilizando su clave privada) al encabezado del correo electrónico, firmando así determinadas partes específicas del mensaje.
   • Se ha definido la dirección MAIL FROM (remitente del sobre); esta es verificada por el protocolo SPF.

2. Recepción por parte del proveedor de buzón de correo (MBP): el servidor de correo receptor procesa el correo electrónico entrante.

3. Comprobación del índice SPF:

• El MBP extrae el dominio MAIL FROM (por ejemplo, tu marca.com).
• Consulta el DNS para obtener el registro SPF de yourbrand.com.
• Comprueba si la dirección IP del servidor remitente está autorizada en el registro SPF.
• Resultado: SPF (aprobado/suspenso).

4. Verificación DKIM:

• El MBP extrae la firma DKIM y el selector del encabezado del correo electrónico.
• Consulta el DNS para obtener la clave pública (en la dirección selector._domainkey.yourbrand.com).
• Utiliza la clave pública para verificar la firma DKIM.
• Resultado: DKIM correcto/fallido.

5. Evaluación de DMARC:

• El MBP comprueba si existe un registro DMARC para tu-marca.com.
• Conformidad con DMARC: esta comprobación permite garantizar que el dominio que aparece en el encabezado «From:» visible (tusmarca.com) coincide con el dominio autenticado por SPF (dominio «MAIL FROM») y/o DKIM (dominio de la etiqueta «d=»).
• Cumplimiento de DMARC: si al menos uno de los protocolos SPF o DKIM es válido y se garantiza la alineación.
• Error de DMARC: si las verificaciones de SPF y DKIM fallan o no son coherentes.

6. Aplicación de la política DMARC:

• Si DMARC falla, el MBP consulta la política DMARC del dominio (p=none, p=quarantine, p=reject) para determinar cómo gestionar el correo electrónico (ponerlo en vigilancia, moverlo a la carpeta de spam o rechazarlo directamente).

7. Visualización de BIMI (bajo ciertas condiciones):

• SOLO si la prueba DMARC se supera con una política de aplicación (p=quarantine o p=reject) Y si el dominio cuenta con un registro TXT BIMI válido que apunte a un certificado de marca verificada (VMC) para el logotipo asociado, el cliente de correo mostrará el logotipo verificado de la marca en la bandeja de entrada.
• Si DMARC falla o si la política está configurada como «p=none», el logotipo no se mostrará.

Este complejo proceso garantiza que solo los correos electrónicos que estén autenticados y se ajusten a la identidad declarada del dominio puedan beneficiarse de la mayor confianza y visibilidad que ofrece BIMI.

¿Por qué es necesaria una alineación rigurosa para BIMI?

El concepto de alineación en el marco del protocolo DMARC no es una mera formalidad técnica; es la piedra angular de la confianza que hace posible directamente el BIMI. La alineación garantiza que el dominio que autentica el correo electrónico (a través del encabezado MAIL FROM de SPF o la etiqueta d= de DKIM) sea efectivamente el mismo que el destinatario ve en el encabezado «De:».

• Prevención del suplantación de identidad: si no se aplica la alineación, un pirata informático podría suplantar la dirección «De:» visible de tu-marca.com al tiempo que envía el mensaje a través de un dominio sin relación alguna (malicious.com) cuya autenticación es débil o incluso inexistente. Aunque malicious.com cumpla con sus propias reglas SPF/DKIM, el dominio «De:» visible no estaría protegido. La alineación evita esto al exigir que el dominio autenticado coincida con el remitente aparente.

• Garantizar la coherencia de la marca: en el marco del protocolo BIMI, el logotipo que se muestra está vinculado al dominio que figura en el encabezado «De:». Si un correo electrónico supera la autenticación pero falla en la alineación, significa que la identidad visual de la marca no está suficientemente protegida por la autenticación técnica. El protocolo BIMI exige explícitamente que la prueba DMARC se supere con alineación, precisamente porque vincula un elemento visual (tu logotipo) a la identidad verificada de tu marca.

• Confianza y capacidad de entrega: los clientes de correo electrónico y los proveedores de bandejas de entrada confían mucho en los correos electrónicos que cumplen con el estándar DMARC. Esto se traduce directamente en una mejor entrega en la bandeja de entrada y refuerza la reputación del remitente. BIMI aprovecha esta confianza consolidada mostrando el logotipo solo en los correos electrónicos que cumplen este estricto requisito, garantizando así que este signo visual de confianza se basa en una sólida seguridad subyacente.

Los estrictos requisitos de BIMI en cuanto a la aplicación de DMARC (con p=quarantine o p=reject) implican que las autenticaciones SPF o DKIM deben estar validadas y alineadas. Esto garantiza que el logotipo de la marca solo se asocie a las comunicaciones procedentes de tu dominio que hayan sido correctamente autenticadas y alineadas.

Riesgos derivados de la ausencia o de una configuración incorrecta de alguno de estos protocolos.

La ausencia o una configuración incorrecta de cualquiera de estos protocolos genera vulnerabilidades críticas y compromete gravemente la eficacia de los correos electrónicos, lo que impide la adopción de BIMI.

• SPF ausente o mal configurado:
  • Riesgo: esto permite a los piratas informáticos enviar fácilmente correos electrónicos «desde» tu dominio utilizando servidores no autorizados, lo que da lugar a una suplantación generalizada de la identidad de tu marca.

• Consecuencias para DMARC/BIMI: los correos electrónicos que no superen la prueba SPF fracasarán directamente en la prueba DMARC (si DKIM tampoco se supera o no coincide), o bien reducirán la tasa de éxito de DMARC, lo que imposibilitará el paso a una política de aplicación (p=reject) y provocará, por tanto, la exclusión del programa BIMI. La entregabilidad se verá afectada debido a la falta de validación del remitente.

• Falta el DKIM o está mal configurado:
  • Riesgo: permite a los piratas informáticos enviar correos electrónicos desde tu dominio con contenido modificado. Esto también expone a tu dominio a riesgos de suplantación de identidad si el protocolo SPF no está correctamente configurado y alineado.

• Consecuencias para DMARC/BIMI: al igual que con el SPF, una firma DKIM no válida puede provocar fallos en DMARC, lo que dificulta la implementación de DMARC. Muchos servicios de envío legítimos (en particular, los proveedores de servicios de correo electrónico de terceros) dependen en gran medida del protocolo DKIM para la autenticación. Sin él, sus correos electrónicos no superarán la prueba DMARC.

• DMARC ausente o mal configurado (o política p=none):
  • Riesgo: aunque los protocolos SPF y DKIM estén perfectamente configurados, si no se aplica activamente una política DMARC, los servidores receptores no disponen de instrucciones claras sobre cómo tratar los correos electrónicos que no cumplen con los requisitos. Los correos electrónicos fraudulentos que logran eludir los filtros SPF/DKIM (por ejemplo, debido a ligeros desfases) podrían acabar llegando a las bandejas de entrada. De este modo, se pierden valiosos datos de informes.

• Consecuencias para BIMI: BIMI no puede funcionar sin la implementación de DMARC con una política de aplicación (p=cuarentena o p=rechazo). Una política p=none significa que no se toma ninguna medida contra los correos electrónicos fraudulentos, lo que no ofrece la seguridad suficiente para un indicador visual de confianza como BIMI.

En resumen, SPF, DKIM y DMARC no son herramientas independientes, sino componentes interdependientes de un ecosistema sólido de autenticación del correo electrónico. Una falla en cualquiera de estos protocolos compromete todo el sistema, lo que impide la adopción de mecanismos de confianza avanzados como BIMI y expone a su marca y a sus destinatarios a ciberamenazas persistentes y en constante evolución. La creación de esta base sólida constituye el primer paso esencial para aprovechar al máximo el potencial de BIMI.

Para que DMARC pueda garantizar la autenticación de los correos electrónicos, es necesario implementar rigurosamente sus protocolos básicos: SPF y DKIM. El SPF (Sender Policy Framework) actúa como primer filtro, garantizando que los correos electrónicos que afirman proceder de tu dominio se envían efectivamente desde servidores que tú has autorizado explícitamente.

¿Qué es el factor de protección solar (FPS) y por qué es tan importante?

El SPF (Sender Policy Framework) es un método de autenticación de correos electrónicos diseñado para detectar la suplantación de identidad del remitente. Permite al propietario de un dominio publicar una lista de direcciones IP autorizadas para enviar correos electrónicos en nombre de dicho dominio. Cuando un servidor de correo electrónico receptor recibe un correo electrónico, realiza una verificación SPF: consulta el DNS para obtener el registro SPF del dominio del remitente y compara la dirección IP del servidor remitente con la lista de direcciones autorizadas.

¿Por qué es tan importante?

1. Lucha contra la suplantación de identidad: sin el SPF, cualquiera podría enviar un correo electrónico haciéndose pasar por tu dominio, una táctica conocida como «suplantación de identidad». Se trata de un elemento clave de los ataques de phishing. El SPF reduce considerablemente la tasa de éxito de estos ataques al ofrecer a los destinatarios un mecanismo que les permite verificar el origen legítimo de un correo electrónico.
2. Mejora de la capacidad de entrega: los proveedores de correo electrónico (MBP) aplican criterios cada vez más estrictos en materia de autenticación de correos electrónicos. Los correos electrónicos procedentes de dominios que no dispongan de un registro SPF válido (o cuyo registro esté mal configurado) corren un mayor riesgo de ser marcados como sospechosos, de ser redirigidos a las carpetas de correo no deseado o de ser rechazados sin más, lo que perjudica tu capacidad de entrega y la eficacia de tu comunicación.
3. Requisito previo para DMARC: el SPF es uno de los dos pilares en los que se sustenta DMARC. Para que un correo electrónico sea validado por DMARC, debe cumplir los requisitos del SPF o del DKIM y, sobre todo, garantizar la coherencia entre el dominio «MAIL FROM» y el dominio del encabezado «From:». Por lo tanto, un registro SPF fiable es indispensable para cualquier dominio que desee implementar DMARC y, posteriormente, BIMI.

¿Cómo se configura y se mantiene un registro SPF válido?

Un registro SPF se publica como un registro TXT en el DNS de tu dominio. Su configuración debe realizarse con precisión para que sea eficaz y no bloquee inadvertidamente los correos electrónicos legítimos.

1. Identificar todas las fuentes de envío: este es el primer paso, y el más importante. Elabora una lista exhaustiva de todos los servicios o servidores que envían correos electrónicos en nombre de tu dominio. Esto incluye:
   • Sus propios servidores de correo electrónico (por ejemplo, Exchange, Postfix).
   • Proveedores externos de servicios de correo electrónico (ESP) destinados al marketing (por ejemplo, Mailchimp, Salesforce Marketing Cloud).
   • Servicios de correo transaccional (por ejemplo, SendGrid, Mailgun).
   • Paquetes ofimáticos en línea (por ejemplo, Google Workspace, Microsoft 365).
   • Cualquier otra aplicación o servidor que envíe notificaciones desde tu dominio.

2. Crear el registro SPF:

• v=spf1: esta etiqueta es obligatoria e identifica el registro TXT como un registro SPF. Siempre debe ser el primer mecanismo.
• Mecanismos para remitentes autorizados:
  • ip4:192.0.2.1 o ip6:2001:db8::1: enumera explícitamente las direcciones IP autorizadas.
  • a: Autoriza la dirección o direcciones IP del registro A para el dominio actual.
  • mx: Permite la dirección o direcciones IP de los registros MX para el dominio actual.
  • incluir: spf.example.com: esta opción se utiliza a menudo para incluir los registros SPF de servicios de terceros. Debes incluir todos los servicios.
  • exists:example.com: un mecanismo menos habitual que comprueba si un dominio existe.

• Calificador (acción en caso de fallo): determina cómo deben tratar los servidores destinatarios los mensajes procedentes de fuentes no autorizadas. Precede al mecanismo.
  • + (Pass): autoriza explícitamente (valor predeterminado si no se especifica ningún calificador).
  • – (Fallo total): rechaza categóricamente los correos electrónicos procedentes de fuentes no registradas. Recomendado para la aplicación de DMARC.
  • ~ (Fallo flexible): el mensaje se marca como probablemente no legítimo, pero se acepta. A menudo se clasifica en la carpeta de «spam». No se recomienda para la aplicación de DMARC.
  • ? (Neutro): Considera que los correos electrónicos no son ni autorizados ni no autorizados. Prácticamente no ofrece protección alguna.

• -all: Se trata del calificador más importante del mecanismo «all» y, por lo general, debe aparecer en último lugar en tu registro. Define la política aplicable a cualquier remitente que no esté explícitamente cubierto por los mecanismos anteriores. El uso de -all (fallo definitivo) es esencial para la eficacia de DMARC, ya que ordena a los destinatarios rechazar los correos electrónicos no autorizados. ~all (fallo temporal) es una medida provisional destinada a una implementación prudente, pero ofrece una protección menos eficaz.
• Ejemplo de un registro SPF robusto: v=spf1 ip4:192.0.2.1 include:_spf.google.com include:spf.mailchimp.com -all (Esto autoriza una dirección IP específica, Google Workspace y Mailchimp, y rechaza explícitamente todas las demás).

3. Publicar en el DNS: añade esto como un registro TXT para tu dominio raíz (tudominio.com).

4. Mantenimiento: los registros SPF requieren un mantenimiento periódico.

• Cuando añadas nuevos remitentes: asegúrate de actualizar siempre tu registro SPF para incluir sus mecanismos de inclusión o sus respectivas direcciones IP.
• Para eliminar remitentes: elimina su dirección de correo electrónico o su dirección IP de tu registro SPF.
• Comprobación periódica: comprueba periódicamente que tu perfil SPF se ajusta a tu infraestructura de envío actual.

Errores comunes relacionados con el SPF y cómo evitarlos.

Los registros SPF mal configurados suelen ser la causa de problemas de entregabilidad y de fallos de DMARC.

1. «Demasiadas consultas» (máx. 10): se trata del error más habitual y más grave. La especificación SPF limita el número de consultas DNS (a, mx, ptr, exists, include) a un máximo de 10. Cada mecanismo «include» puede, a su vez, contener varias consultas. Superar este límite provocará el fallo de la validación SPF, lo que podría afectar a los correos electrónicos legítimos.
   • Prevención: agrupa los mecanismos de inclusión en la medida de lo posible. Utiliza directamente las direcciones IP (IPv4/IPv6) en lugar de los registros «a» o «mx» si las direcciones IP son estáticas. Utiliza con precaución las herramientas en línea de «SPF flattening», ya que incorporan directamente las direcciones IP, que pueden quedar obsoletas.

2. Registros SPF múltiples: un dominio solo debe tener un único registro TXT SPF. Si se detectan varios registros SPF, el servidor de destino suele ignorarlos todos, lo que dará lugar a un estado SPF «Neutro» o «Fallido», así como a un fallo de DMARC.

• Solución alternativa: agrupa todos los mecanismos procedentes de diferentes fuentes en un único registro v=spf1 … -all.

3. Sintaxis incorrecta: simples errores tipográficos, espacios que faltan o calificativos incorrectos pueden invalidar todo el registro.

• Prevención: utilice herramientas de validación SPF en línea después de cada modificación. Compruebe minuciosamente todos los mecanismos y su orden.

4. Ausencia del mecanismo «all»: un registro SPF que no incluya el mecanismo «all» (-all, ~all o ?all) implica que cualquier dirección IP que no se mencione explícitamente se considera neutra, lo que prácticamente no ofrece ninguna protección.

• Precaución: asegúrate de incluir siempre un mecanismo «all» como última entrada. Para la aplicación de DMARC, utiliza «-all».

5. Olvidarse de actualizar: las nuevas plataformas de marketing, los servicios de correo transaccional o incluso las migraciones a la nube pueden dar lugar a la aparición de nuevas direcciones IP o nuevos dominios de envío que deben añadirse.

• Prevención: Considere su registro SPF como un documento en constante evolución. Incorpore su gestión a sus procesos de control de cambios para la infraestructura de correo electrónico. Revise periódicamente los informes agregados de DMARC para identificar las fuentes de correos electrónicos que no cumplen con la política SPF.

Mantener un registro SPF preciso y conforme es un elemento fundamental para la seguridad del correo electrónico y un requisito previo esencial para la implementación satisfactoria de los protocolos DMARC y BIMI.