BIMI (Indicadores de Marca para la Identificación de Mensajes) es un estándar de autenticación de correo electrónico que muestra el logotipo de una marca en los clientes de correo compatibles. Para los usuarios de Gmail, Google muestra una marca de verificación azul junto al nombre del remitente para indicar que el logotipo ha sido verificado.

Un VMC (Certificado de Marca Verificada) es un certificado digital emitido por una autoridad de confianza que verifica la propiedad del logotipo, y suele ser un requisito para implementar BIMI.

El CMC (Certificado de Marca Común) comparte el mismo objetivo de verificar la propiedad del logotipo, pero no exige que la marca esté registrada.

BIMI son las siglas de Brand Indicators for Message Identification (Indicadores de Marca para la Identificación de Mensajes). Se trata de una especificación de correo electrónico que permite mostrar logotipos de marcas en los clientes de correo electrónico compatibles, fomentando el uso generalizado de la protección DMARC.

Esta especificación forma parte del proceso global que permite que un Certificado de Marca Verificada muestre el logotipo de una organización directamente en la bandeja de entrada de los destinatarios:

• Las empresas activan el protocolo DMARC.
• Los proveedores de servicios de correo electrónico validan el dominio del remitente.
• Solo los correos electrónicos verificados llegan a la bandeja de entrada.
• El logotipo validado del Certificado de Marca Verificada hace visible y evidente este sello de confianza.

Este uso generalizado es especialmente importante porque, a medida que aumenta el número de organizaciones que aplican DMARC, se reducen los objetivos de los ataques de suplantación de identidad (phishing) y el correo electrónico en su conjunto se vuelve más seguro y confiable.

Según DMARC.org: «DMARC son las siglas de "Domain-based Message Authentication, Reporting and Conformance" (autenticación de mensajes, informes y conformidad basada en dominios), una política de autenticación de correo electrónico y un protocolo de elaboración de informes. Se basa en los protocolos SPF y DKIM, ampliamente extendidos, y añade vinculación al nombre de dominio del autor ("De:"), políticas publicadas para la gestión por parte del destinatario de los fallos de autenticación, e informes de los destinatarios a los remitentes, a fin de mejorar y supervisar la protección del dominio frente al correo electrónico fraudulento».

La aplicación de DMARC —lo que se conoce también como «cumplimiento de DMARC» o «implementación de DMARC»— es un medio para habilitar la autenticación de mensajes, informes y conformidad basada en dominios (DMARC) en una organización..

DMARC es un registro TXT almacenado en el DNS que ofrece a los destinatarios de correo electrónico la posibilidad de comprobar la autenticidad del correo recibido. Diseñado para integrarse en el proceso de autenticación de mensajes entrantes de una empresa, ayuda a los destinatarios de correo electrónico a determinar si un mensaje «concuerda» con lo que el destinatario sabe sobre el remitente. Las empresas disponen de tres opciones de políticas para gestionar los mensajes «que no concuerdan»: «p=none» (no tomar ninguna medida), «p=quarantine» (poner en cuarentena) y «p=reject» (rechazar). Para que DMARC funcione correctamente, deben configurarse antes los protocolos Sender Policy Framework (SPF) y DomainKeysIdentified Mail (DKIM).

Los Certificados de Marca tienen una validez de un año. Macroseguridad ofrece a sus clientes suscripciones multianuales para estos certificados, lo que garantiza una cobertura continua y beneficios en costos.

La validación de los certificados VMC/CMC incluye los siguientes pasos:

• - Validación de la organización: similar al proceso de un certificado SSL de validación extendida (EV).
• - Validación presencial (face-to-face): comparable a la utilizada en eIDAS, donde se confirma la identidad de manera directa.
• - Verificación del logotipo: se revisa que el logotipo corresponda legítimamente a la organización.
• - Validación del control de dominio (DCV): igual que en los certificados SSL, se comprueba que la organización controla el dominio asociado.
• - Comprobaciones CAA: también iguales a las que se realizan para SSL, asegurando que la autoridad emisora esté autorizada en los registros DNS.