BIMI (Brand Indicators for Message Identification) passou de “experimentalidade simpática” em 2020 a “sinal de confiança essencial para senders sérios” para 2026. A combinação de DMARC ao enforcement e display de logo de marca verificado em inboxes converte o email de canal anônimo genérico a superfície de marca onde os senders legítimos ficam visualmente diferenciados dos suplantadores. Para marcas brasileiras, o requisito de marca registrada adiciona considerações de INPI, EUIPO, USPTO e UKIPO que as guias centradas em EUA pulam por completo.
Este é o guia de implementação que cobre a sequência real: como combinar o trabalho de enforcement DMARC com a preparação BIMI para minimizar tempo total, como se vê o processo de emissão VMC em 2026 (após as mudanças da Apple sobre Entrust em novembro de 2024), e os truquezinhos específicos de marcas brasileiras.
O que faz BIMI realmente
BIMI publica um registro TXT em default._bimi.seudominio.com.br que aponta a duas URLs: um arquivo SVG com seu logo e um Verified Mark Certificate (VMC) em arquivo PEM que vincula esse logo a sua marca registrada. Os receivers que suportam BIMI (Gmail, Yahoo Mail, Apple Mail, Fastmail, La Poste, GMX) consultam essas URLs ao receber uma mensagem DMARC-passing do seu domínio. Se tudo valida, mostram o logo junto a seu nome de remetente no inbox. Gmail adiciona ainda um checkmark azul autenticado se o certificado é VMC (não CMC).
A cadeia de confiança:
- DMARC ao enforcement protege contra suplantação
- VMC verifica que o logo é seu via marca registrada
- A especificação SVG Tiny PS assegura renderização segura (sem execução de scripts, sem recursos externos)
O resultado visível: seu logo de marca aparece no inbox, distinguindo email legítimo de tentativas de spoofing com ícone genérico. O resultado invisível: os sistemas de reputação do receiver tratam senders BIMI-validados como de maior confiança, o que melhora o placement marginalmente mas de forma consistente.
Pré-requisitos: o trabalho que já deve estar feito
BIMI é o último passo, não o primeiro. Os pré-requisitos:
1. DMARC em p=quarantine ou p=reject com pct=100 durante 30+ dias
É requisito duro. BIMI não se mostra quando DMARC está em p=none. Os provedores de inbox exigem ao menos 30 dias consecutivos em enforcement antes de processar um registro BIMI. A sequência completa rumo a enforcement está coberta em nosso guia de DMARC ao enforcement; o cronograma típico são 6-8 semanas para implementação limpa.
2. Marca registrada para o logo
As CAs verificam contra registros de marca. Para marcas brasileiras as autoridades relevantes são:
- INPI Brasil (Instituto Nacional da Propriedade Industrial)
- EUIPO (Marca da União Europeia, válida nos 27 Estados-Membros UE)
- USPTO (United States Patent and Trademark Office, EUA)
- UKIPO (UK Intellectual Property Office, Reino Unido)
- OEPM (Oficina Espanhola de Patentes e Marcas)
- IMPI (Instituto Mexicano da Propriedade Industrial)
- CIPO (Canadian Intellectual Property Office, Canadá)
- JPO (Japan Patent Office, Japão)
- IP Australia
A marca deve estar registrada (não pendente), a imagem do logo deve coincidir com a marca registrada, e a entidade titular da marca deve coincidir com o solicitante do certificado. Não vale apenas registro nominativo (texto): a marca deve ser figurativa ou mista (com elemento gráfico) para BIMI.
3. Arquivo de logo conforme SVG Tiny PS
O subset “Tiny Portable/Secure” de SVG. Restrições específicas:
- Sem JavaScript
- Sem referências externas
- viewBox fixo
- Dimensões fixas
- Tamanho abaixo de 32 KB
- Razão 1:1 (quadrado)
- Fundo não transparente (preferível)
A maioria de SVGs do time de marketing precisa adaptação por designer que conheça a especificação.
4. Hosting HTTPS para SVG e arquivo PEM
Ambos arquivos precisam viver em URLs estáveis servidas por HTTPS que os receivers possam consultar de forma confiável. O uptime importa: se o SVG retorna 503, BIMI não se mostra.
VMC vs CMC: a decisão que as marcas brasileiras geralmente perdem
Em finais de 2024 introduziu-se o Common Mark Certificate (CMC) como alternativa ao VMC. A diferença importa para marcas brasileiras que ainda não têm marca registrada formal.
| Atributo | VMC (Verified Mark Certificate) | CMC (Common Mark Certificate) |
|---|---|---|
| Marca registrada exigida | Sim, em ofício IP reconhecido | Não: prova de uso público 12+ meses |
| Custo anual | US$ 749-1.752 | US$ 650-1.100 |
| Display Gmail | Sim + checkmark azul autenticado | Sim, sem checkmark |
| Display Yahoo Mail | Sim | Sim |
| Display Apple Mail | Sim | Não |
| Display Fastmail/La Poste/GMX | Sim | Sim |
| Tempo emissão | Meses (incluindo registro marca) | Semanas |
| Caso ideal brasileiro | Marca consolidada com INPI/EUIPO ativos | Startup ou pyme sem registro marca ainda |
Apple não aceita certificados Entrust emitidos a partir de 15 de novembro de 2024. Se Apple Mail é relevante para sua audiência, DigiCert é a única opção segura para VMC.
Processo de emissão VMC em 2026 (Brasil)
As CAs autorizadas a Q2 2026 são DigiCert, Entrust, Sectigo e GlobalSign. Apple deixou de aceitar Entrust desde 15 de novembro de 2024, o que reduz a escolha prática para marcas com audiência Apple a três CAs.
Passos com DigiCert (caminho mais comum)
-
Solicitação via portal DigiCert. Você entrega dados de organização (CNPJ brasileiro, endereço, representante legal), número de registro de marca, jurisdição e arquivo SVG.
-
DigiCert verifica a marca contra a base de dados do ofício relevante. Para EUIPO e USPTO isto está automatizado; para INPI Brasil pode requerer consulta manual; para outros ofícios LATAM costuma adicionar 2-3 semanas extras porque as bases de dados não estão integradas internacionalmente com as CAs.
-
DigiCert verifica identidade da organização. Verificação tipo EV: registro mercantil oficial (Junta Comercial brasileira), endereço físico, autoridade signatária. Para empresas brasileiras com CNPJ ativo e endereço fiscal no Brasil, o processo é direto.
-
DigiCert verifica que o SVG coincide com a marca. A imagem renderizada por seu SVG deve coincidir com a imagem do registro de marca. Aqui é onde as conversões SVG Tiny PS às vezes falham: o processo mudou detalhes visuais o suficiente para que a CA marque a discrepância.
-
VMC emitido. Arquivo PEM entregue, válido por um ano, renovável.
Tempo total: tipicamente 1-4 semanas após o setup de marca. Mais rápido se a verificação de marca está automatizada (EUIPO ou USPTO) e a organização já está verificada para outros produtos DigiCert.
Sectigo e GlobalSign
Funcionalmente similares a DigiCert. Sectigo é o mais barato do mercado (~US$ 749/ano) e emite tanto VMC como CMC. GlobalSign tem preço intermediário. Para marcas brasileiras que precisam VMC com Apple Mail funcionando, as três são válidas; para CMC, Sectigo é o mais rápido e barato.
Preparação SVG Tiny PS: erros comuns
A especificação SVG Tiny PS é restritiva. Modos de falha habituais:
Falha: referências a fontes externas
Os SVGs de marketing costumam referenciar web fonts. Tiny PS proíbe. Solução: converter todo o texto a paths (Objeto → Traçado no Illustrator).
Falha: elementos script Animações, interatividade, qualquer coisa dinâmica. Tiny PS proíbe. Solução: achatar a SVG estático.
Falha: viewBox ausente ou mal formado Tiny PS requer atributo viewBox. Solução: garantir que está estabelecido explicitamente.
Falha: referências inválidas a filtros ou máscaras Algumas features SVG não estão no subset Tiny. Solução: rasterizar efeitos complexos a PNG embutido em base64, aceitar perda de fidelidade.
Falha: tamanho de arquivo Tiny PS limita o tamanho abaixo de 32 KB. O teto é generoso mas fácil de exceder com logos de alto detalhe. Solução: simplificar paths, reduzir pontos de controle.
Para a maioria de times de marketing, o caminho mais rápido é contratar especialista SVG (R$ 1.000-R$ 3.000 uma vez) que produza a versão Tiny PS. Tentar a conversão internamente costuma custar mais em iterações que a tarifa do especialista. PowerDMARC oferece conversor SVG online gratuito útil como ponto de partida, mas o resultado deve validar-se antes de enviar à CA.
Combinar trabalho DMARC e BIMI eficientemente
Se você começa do zero (sem DMARC, sem BIMI), a sequência ótima:
Semanas 1-4: inventário DMARC e progressão a p=quarantine
- Semana 1: inventário de fontes de envio
- Semanas 2-3: autenticação para fontes conhecidas
- Semana 4: passar a p=quarantine pct=10, escalar a pct=100
Em paralelo semanas 1-78: marca e preparação VMC
- Semana 1: confirmar registro de marca; se não está registrada, iniciar solicitação no INPI (atraso 18 meses+)
- Semanas 2-3: preparação SVG Tiny PS por especialista
- Semanas 3-4: solicitação VMC enviada a DigiCert/Sectigo/GlobalSign
- Semanas 4-6: emissão VMC (depende do backlog da CA)
Semana 7: publicação BIMI DNS
- Publicar registro BIMI TXT apontando a SVG e VMC URLs
- Verificar com a ferramenta lookup do BIMI Group
Semana 8: validação e estabilização
- Confirmar que o logo se mostra em Gmail, Yahoo, Apple Mail
- Monitorar regressões de alinhamento DMARC que derrubem BIMI
Se você já tem DMARC em p=quarantine, pode pular as primeiras 4 semanas e começar diretamente com marca/VMC. Tempo total desde “queremos BIMI” a “logo visível em inbox” são 4-8 semanas se DMARC já está em seu lugar, 8-12 semanas desde arranque a frio com marca pendente. A grande limitação é a marca: se vai precisar registro INPI Brasil pela primeira vez, o atraso pode estender o projeto BIMI a 20+ meses. Por isso recomendamos depositar o pedido INPI agora mesmo se prevê fazer BIMI no futuro.
Particularidades por jurisdição para marcas brasileiras
Brasil: INPI
O Instituto Nacional da Propriedade Industrial mantém o sistema e-Marcas e a base de buscas online. O registro completo demora 18-24 meses incluindo análise formal, publicação na Revista da Propriedade Industrial (RPI), prazo de oposição de 60 dias, exame de mérito e concessão.
Tipos de marca aceitos para BIMI: figurativa (apenas elemento gráfico) ou mista (combinação de imagem e palavra). Marca apenas nominativa (texto) não vale para BIMI.
Custos atualizados desde 20 setembro 2025 (Portaria GM/MDIC nº 110/2025):
- Especificação pré-aprovada: R$ 880 sem desconto, R$ 440 com desconto MEI/ME/EPP
- Especificação livre (texto personalizado): valor dobrado
- Pagamento único na entrada (sem mais taxa de concessão separada)
- Vigência: 10 anos, renovável indefinidamente por R$ 1.000/classe (R$ 500 com desconto)
As CAs aceitam marcas INPI Brasil, mas a verificação pode demorar 2-3 semanas a mais que EUIPO porque a base de dados não está integrada automaticamente.
EUIPO como rota alternativa
Para empresas brasileiras com ambição internacional ou cliente final UE, o registro EUIPO costuma ser mais rápido e econômico que múltiplos registros nacionais. Para uma empresa brasileira com cliente UE, EUIPO entrega cobertura nos 27 Estados-Membros + reconhecimento global pelas CAs em 4-6 meses por 850 € (primeira classe), 50 € adicional por segunda classe, 150 € por classe adicional.
A combinação INPI Brasil + EUIPO é o setup mais comum para empresas brasileiras consolidadas: INPI cobre território nacional, EUIPO cobre UE como valor agregado e a CA aceita qualquer das duas.
EUA, Reino Unido, outras jurisdições
Para empresas brasileiras com operação significativa em EUA, registro USPTO custa US$ 250-750/classe e demora 12-18 meses. Para Reino Unido pós-Brexit, UKIPO custa £170 + £50 por classe adicional.
A pergunta a fazer-se: onde está sua audiência email principal e onde vivem seus clientes mais importantes? Registre lá primeiro.
O que BIMI não faz
Para fixar expectativas corretamente:
BIMI não melhora placement materialmente
Os receivers tratam senders BIMI-validados como marginalmente mais confiáveis. A melhora real de placement é pequena: aproximadamente 1-3% em nossas medições. O valor está na visibilidade de marca e na confiança do cliente, não na deliverability.
BIMI não funciona em todos os lugares
Receivers principais que suportam: Gmail (Workspace e consumer), Yahoo, Apple Mail (iOS e macOS), Fastmail, La Poste, GMX, Onet, Comcast. Microsoft Outlook NÃO suporta BIMI a Q2 2026 (pergunta frequente, resposta decepcionante para senders com audiência Outlook-pesada como B2B enterprise). Isto importa especialmente para empresas brasileiras vendendo a corporações, onde Outlook domina.
BIMI não é anti-phishing por si só
BIMI se mostra apenas quando DMARC passa. Os emails de phishing que conseguissem pular DMARC (raros) tampouco mostrariam BIMI. A proteção anti-phishing vem do DMARC ao enforcement; BIMI apenas faz visível o sinal de email legítimo.
BIMI não funciona para endereços pessoais
O requisito de marca registrada implica que senders email consumer (“o negócio de bolos da Maria”) não podem conseguir VMC salvo se registrarem uma marca, o que faz BIMI principalmente ferramenta para senders organizacionais.
Quando vale a pena BIMI (e quando não)
BIMI vale o investimento para:
- Marcas consumer-facing onde o reconhecimento de logo afeta engagement de email
- Marcas frequentemente suplantadas em phishing (bancos, e-commerce, SaaS com usuário consumer)
- Marcas onde os sinais de confiança demonstradamente afetam taxas de abertura
- Marcas com postura DMARC madura que querem sinal visível de investimento em segurança email
BIMI não vale a pena para:
- Marcas B2B-only enviando a inboxes corporativos (maioria Outlook, sem display BIMI)
- Marcas sem marca registrada (registro + atraso supera o benefício)
- Marcas com volume baixo onde a tarifa US$ 749-1.500 anual VMC mais custo de implementação é desproporcionada
- Marcas que não fizeram trabalho DMARC ao enforcement (BIMI não tem valor em p=none)
Para nossos clientes brasileiros, BIMI é mais valioso em:
- Bancos e fintechs brasileiras (alvo alto de phishing, confiança de marca crítica, disciplina DMARC já em seu lugar sob BCB 538/2025)
- E-commerce consumer brasileiro (melhora engagement em transacionais)
- SaaS com comunicação consumer-facing (confirmação conta, reset senha)
Para clientes B2B SaaS apontando a comprador enterprise (maioria Outlook), costumamos recomendar pular BIMI a favor de investir em monitoramento DMARC e outros sinais de confiança visíveis mais relevantes para comprador enterprise.
Linha final
DMARC e BIMI juntos são o sinal de confiança visível para senders legítimos em 2026. A implementação está bem definida. Os gargalos são organizacionais (registro de marca, aprovação marketing do logo Tiny PS) mais que técnicos.
Para marcas brasileiras, a camada de marca adiciona complexidade mas também é custo único: uma vez registrada, a marca é sua. Para marcas que têm ou estão dispostas a registrar marca, BIMI é investimento de marca significativo. Para marcas sem essa infraestrutura, foque primeiro em DMARC ao enforcement; BIMI é complemento, não substituto.
Para marcas brasileiras que ainda não depositaram pedido INPI mas planejam fazer BIMI no futuro, o conselho específico de operadores: deposite o pedido agora. O custo é modesto (R$ 440-R$ 1.760 da taxa INPI mais honorários R$ 1.200-R$ 2.800), o atraso de 18-24 meses é o gargalo crítico, e desde o protocolo você já tem proteção prioritária. Cada mês que você adia o pedido é um mês adicional ao cronograma BIMI futuro.
Nosso produto de DMARC gerenciado cobre o trabalho de implementação tanto para enforcement DMARC como para ativação BIMI, com a preparação SVG Tiny PS gestida via especialista parceiro e a procura VMC via DigiCert como CA por padrão (para manter compatibilidade com Apple Mail).