BIMI Checker

Lo que hace esta herramienta

El BIMI Checker ejecuta cuatro operaciones encadenadas sobre el dominio introducido:

• Lookup DNS sobre default._bimi.<dominio> para recuperar el registro TXT y detectar duplicados o un CNAME prohibido.
• Descarga y validación del logo SVG apuntado por el tag l=: formato, conformidad al perfil SVG Tiny-PS (RFC 9043), viewBox cuadrado, tamaño razonable.
• Descarga y análisis del VMC apuntado por el tag a=: autoridad emisora, validez, presencia del trustmark BIMI, expiración.
• Lookup DMARC sobre _dmarc.<dominio> para verificar el requisito estricto (p=quarantine o p=reject con pct=100).

El resultado agrega los hallazgos en una puntuación 0 a 100, seis dimensiones, recomendaciones ordenadas por prioridad y una tarjeta VMC compacta.

Cómo funciona BIMI

BIMI (Brand Indicators for Message Identification, RFC 9043) permite a un dominio asociar su logo oficial con los mensajes que envía. Tres componentes deben alinearse:

1. Un registro DNS TXT publicado en default._bimi.<dominio> con el formato v=BIMI1; l=<url_logo_svg>; a=<url_vmc> (el tag a= es opcional según la spec pero requerido en la práctica).
2. Un logo SVG conforme al perfil Tiny-PS: viewBox cuadrado, sin scripts, sin referencias externas, sin fuentes embebidas no autorizadas.
3. Un certificado VMC o CMC (Verified Mark Certificate o Common Mark Certificate) emitido por DigiCert o Entrust, firmado por una CA mark reconocida, que contenga un OID "BIMI Indicator Trustmark".

El requisito previo no negociable: la política DMARC del dominio debe ser p=quarantine o p=reject con pct=100. Con p=none o un pct parcial, Gmail, Apple Mail y Yahoo no muestran el logo, sea cual sea la calidad del registro BIMI.

El alignment DKIM o SPF (según el modo adkim o aspf) sigue siendo necesario en el envío para que los mensajes pasen DMARC y desencadenen la visualización del logo.

Cuándo usar el BIMI Checker

• Después de la publicación DNS para confirmar que el registro está propagado y es legible por los destinatarios.
• Cuando el logo no se muestra en Gmail, Apple Mail o Yahoo a pesar de un despliegue supuestamente completo.
• Antes de la renovación anual del VMC para medir el tiempo restante y planificar el pedido a la CA.
• Auditoría de marca sobre un dominio secundario (subdominio de marketing, dominio de filial) antes de publicar.
• Verificación de la cadena completa (record, logo, VMC, DMARC) en caso de migración del proveedor de logo o de la autoridad certificadora.

Las seis dimensiones de la puntuación

Un registro sintácticamente inválido limita la puntuación a 30. Una política DMARC en p=none también la limita a 30 y fuerza el veredicto critical: la cadena BIMI está técnicamente publicada pero inoperativa.

Diagnósticos comunes y soluciones

Registro ausente

La herramienta no ha encontrado ningún TXT en default._bimi.<dominio>. Cree el registro con al menos v=BIMI1; l=https://captaindns.com/bimi/logo.svg. Publique en DNS y espere el tiempo de propagación.

DMARC demasiado laxo

La herramienta detecta p=none o un pct inferior a 100. BIMI no funciona en Gmail, Apple Mail y Yahoo. Refuerce la política DMARC, idealmente hacia p=reject; pct=100, tras una fase de observación con los informes rua.

VMC ausente

El tag a= está ausente del registro mientras que l= está presente. Los renderizadores modernos necesitan un VMC para mostrar el logo. Pida un VMC a DigiCert o Entrust (cuente 1000 a 1500 USD por año y 2 a 4 semanas de verificación), aloje el PEM en HTTPS y añada a=<url> al registro.

Logo no conforme

El SVG descargado contiene elementos prohibidos (scripts, foreignObject, referencias externas, viewBox no cuadrado). Utilice el BIMI Validator para identificar cada elemento a corregir, luego vuelva a publicar el SVG limpiado.

VMC expira pronto

El certificado válido expira en menos de 60 días. Anticipe la renovación con la CA. Un VMC expirado corta inmediatamente la visualización del logo, sin alerta del lado del webmail.

Limitaciones y puntos técnicos

• Caché de logo del webmail: un cambio de logo puede tardar varios días en aparecer en los destinatarios. No es un bug BIMI sino un comportamiento de caché.
• Selector: la spec autoriza selectores distintos de default mediante la cabecera BIMI-Selector. Esta herramienta consulta default._bimi.<dominio>, que cubre casi todos los despliegues.
• CMC versus VMC: los Common Mark Certificates (marcas no registradas) son compatibles solo con algunos webmails. El VMC sigue siendo la referencia para Gmail y Yahoo.
• Firma DKIM: el tag a= del registro BIMI designa el VMC, no una clave DKIM. No confundir estos dos componentes.
• Apple Mail muestra el logo BIMI incluso sin VMC cuando DMARC es estricto, a diferencia de Gmail y Yahoo.

Herramientas complementarias

Preguntas frecuentes

P: ¿Por qué no se muestra mi logo BIMI?

R: Cinco causas comunes: la política DMARC es p=none o el pct es inferior a 100, el certificado VMC está ausente o expirado, el logo SVG no es conforme al perfil Tiny-PS (scripts, referencias externas, viewBox no cuadrado), la URL del logo no es accesible vía HTTPS, o el registro BIMI no está publicado en default._bimi.<dominio>. El BIMI Checker diagnostica cada uno de estos puntos.

P: ¿Cuál es la diferencia entre BIMI Checker y BIMI Validator?

R: El Checker consulta el DNS para analizar el registro publicado en su dominio, descarga el logo y el VMC, verifica DMARC. El Validator analiza la sintaxis de un registro que se pega antes de la publicación. Flujo recomendado: Validator antes de publicar, Checker después.

P: ¿Qué significa la puntuación 0 a 100?

R: La puntuación mide el BIMI-readiness del dominio, es decir, la probabilidad de que el logo se muestre en Gmail, Apple Mail y Yahoo. 90 a 100 = inbox-ready. 75 a 89 = configuración correcta con ajustes menores. 50 a 74 = bloqueos por resolver (VMC ausente, DMARC no estricto). Menos de 50 o estado inválido = critical.

P: ¿Qué seis dimensiones se evalúan?

R: Record (presencia DNS, 20 puntos), sintaxis (registro analizable, 15 puntos), DMARC estricto (p=quarantine o p=reject con pct=100, 20 puntos), logo (SVG Tiny-PS conforme, 20 puntos), VMC (certificado válido no expirado con trustmark, 15 puntos), higiene (URLs razonables, sha256, alignment, 10 puntos).

P: ¿Es obligatorio el VMC para BIMI?

R: El RFC 9043 no lo exige, pero Gmail y Yahoo se niegan a mostrar el logo sin un Verified Mark Certificate válido. Apple Mail tolera un despliegue sin VMC. Sin VMC, el logo permanece invisible para la mayoría de los destinatarios.

P: ¿Qué verifica la herramienta sobre DMARC?

R: La herramienta ejecuta un lookup sobre _dmarc.<dominio>, lee la política p, el pct, la política de subdominios sp y los modos de alignment. El requisito BIMI es p=quarantine o p=reject con pct=100. Cualquier valor inferior limita la puntuación BIMI a 30 y activa una recomendación crítica.

P: ¿Qué significa 'logo no conforme Tiny-PS'?

R: El logo SVG contiene elementos prohibidos por el perfil SVG Tiny PS definido por el RFC 9043: scripts JavaScript, elementos foreignObject, referencias externas (xlink:href hacia otra URL), fuentes embebidas no autorizadas o viewBox no cuadrado. El BIMI Validator detalla cada elemento a corregir.

P: ¿Cuánto tiempo para ver los cambios BIMI?

R: Se acumulan dos plazos: la propagación DNS (1 a 4 horas con TTL 3600, 24 a 48 horas con TTL 86400) y la caché de logo de los webmails (varias horas a varios días). Reduzca el TTL antes de cualquier modificación para acelerar la propagación.

Recursos útiles

• RFC 9043 - SVG Tiny Portable/Secure (SVG Tiny PS) (perfil SVG oficial para BIMI)
• RFC 7489 - DMARC (requisito DMARC estricto)
• Draft IETF Brand Indicators for Message Identification (especificación BIMI en estandarización)
• BIMI Group (AuthIndicators Working Group, documentación y drafts en curso)
• DigiCert Verified Mark Certificates (CA mark para VMC)
• Entrust Verified Mark Certificates (CA mark para VMC)
• Requisitos BIMI Gmail (exigencias Google Workspace)