BIMI con ESPs y remitentes externos: requisitos de alineación

Cuando una plataforma externa envía correos electrónicos en tu nombre, el logo de tu marca —y tu registro BIMI— depende completamente de cómo esa plataforma gestiona la autenticación del correo. La mayoría de los fallos de entregabilidad en implementaciones de BIMI se remontan a un único detalle mal comprendido: BIMI no se preocupa por tu registro SPF cuando un ESP envía tu correo. Se preocupa por la alineación DKIM.

Este artículo explica por qué, y qué debes configurar para que BIMI funcione de forma fiable en todas las plataformas de envío de tu stack.

Cómo evalúa BIMI la identidad del remitente

BIMI está anclado a DMARC. Antes de que un proveedor de correo renderice tu logo, verifica que el mensaje pase DMARC. DMARC, a su vez, requiere alineación: el dominio en la cabecera From del RFC 5322 (la dirección que ve tu destinatario) debe alinearse con el dominio autenticado por SPF o DKIM.

| Método de autenticación | Dominio evaluado para alineación | |---|---| | SPF | MAIL FROM del RFC 5321 (remitente del sobre / dominio de rebotes) | | DKIM | Etiqueta d= en la cabecera DKIM-Signature | | Activación de BIMI | Dominio de la cabecera From: del RFC 5322 |

La distinción crítica: SPF se alinea contra el remitente del sobre. DKIM se alinea contra la etiqueta d=.

Por qué falla la alineación SPF con los ESPs

Cuando Mailchimp, HubSpot, SendGrid o Salesforce Marketing Cloud envía un mensaje en tu nombre, el remitente del sobre SMTP (MAIL FROM) se establece a un dominio de seguimiento de rebotes controlado por el ESP, por ejemplo:

• bounce.list-manage.com (Mailchimp)
• bounce.hubspotemail.net (HubSpot)
• em.sendgrid.net (SendGrid)
• et.tudominio.com o pub.s10.exacttarget.com (Salesforce Marketing Cloud)

SPF autentica este dominio del sobre, no el dominio de tu cabecera From:. A menos que el dominio de rebotes del ESP coincida exactamente con tu dominio, la alineación SPF fallará.

Este es el comportamiento esperado. No es un error. Es cómo funciona el protocolo.

Punto clave: Una alineación SPF fallida no bloquea BIMI, siempre que la alineación DKIM pase. DMARC solo requiere que uno de los mecanismos de alineación pase.

Alineación DKIM: el único camino fiable para remitentes ESP

Para que BIMI funcione cuando un ESP envía tu correo, el ESP debe firmar los mensajes salientes con una firma DKIM donde la etiqueta d= coincida con el dominio de tu cabecera From.

Qué significa "coincide"

DMARC admite dos modos de alineación:

• Alineación relajada (por defecto): El dominio d= debe compartir el mismo Dominio Organizacional que el dominio de la cabecera From:. Por ejemplo, d=mail.tudominio.com se alinea con From: [email protected].
• Alineación estricta: El dominio d= debe ser una coincidencia exacta con el dominio de la cabecera From:.

La mayoría de las políticas DMARC usan alineación relajada. Confirma la etiqueta adkim= de tu política; si está ausente, se asume relajada.

Cómo se ve un mensaje con alineación DKIM correcta

From: [email protected]           ← From del RFC 5322

DKIM-Signature: v=1; a=rsa-sha256;
d=tudominio.com;                       ← coincide con el dominio From ✓
s=esp-selector;
...

Este mensaje pasa DMARC mediante alineación DKIM. BIMI puede renderizarse.

Cómo se ve una configuración fallida

From: [email protected]           ← From del RFC 5322

DKIM-Signature: v=1; a=rsa-sha256;
d=sendgrid.net;                        ← dominio del ESP, no el tuyo ✗
...

Este mensaje falla en la alineación DMARC. BIMI no se renderizará, independientemente de si tu registro DNS de BIMI está correctamente publicado.

Configuración de firma DKIM personalizada en los principales ESPs

La siguiente tabla resume el soporte de dominio DKIM personalizado en los ESPs más ampliamente utilizados. "DKIM personalizado" significa que el ESP puede firmar con tu dominio en la etiqueta d=, no con el suyo propio.

| ESP | Soporte de dominio DKIM personalizado | Ruta de configuración | Notas | |---|---|---|---| | Mailchimp | ✅ Sí | Audience → Settings → Domains → Authenticate | Requiere registros CNAME en DNS; Mailchimp gestiona las claves | | HubSpot | ✅ Sí | Settings → Marketing → Email → Sending Domains | Añade registros TXT de DKIM a tu DNS | | Salesforce Marketing Cloud | ✅ Sí | Admin → Domain Management → SAP / Private Domain | Requiere configuración de Private Domain; se recomienda configuración SAP | | SendGrid (Twilio) | ✅ Sí | Settings → Sender Authentication → Domain Authentication | Publica registros CNAME; rotación automática de claves disponible | | Klaviyo | ✅ Sí | Account → Settings → Email → Sending Domains | Basado en CNAME; requerido para envío dedicado | | ActiveCampaign | ✅ Sí | Settings → Advanced → Email Domain Authentication | Registro TXT de DKIM añadido a tu DNS | | Brevo (anteriormente Sendinblue) | ✅ Sí | Senders & IP → Domains | Se proporciona orientación sobre registros DKIM y DMARC | | Constant Contact | ⚠️ Limitado | Auto-autenticación vía DKIM en configuración avanzada | DKIM de dominio personalizado disponible pero la configuración no es trivial | | Campaign Monitor | ✅ Sí | Account Settings → Authenticated Domains | Se admite alineación tanto de DKIM como de SPF | | Postmark | ✅ Sí | Sender Signatures → DKIM | DKIM por dominio; fuerte enfoque en entregabilidad | | Amazon SES | ✅ Sí | Configuration → Verified Identities → DKIM | Admite tanto Easy DKIM (gestionado por AWS) como BYODKIM |

Si tu ESP no está listado o no admite firma de dominio DKIM personalizado, BIMI no funcionará para el correo enviado a través de esa plataforma. Contacta a tu ESP para solicitar esta capacidad o evalúa un proveedor alternativo.

Paso a paso: verificación de la alineación DKIM para BIMI

Sigue estos pasos para confirmar que la configuración de tu ESP admite BIMI antes de publicar tu registro DNS de BIMI.

1. Envía un mensaje de prueba desde tu ESP a un buzón que controles (Gmail, Yahoo o una cuenta de Microsoft 365).

1. Abre las cabeceras del mensaje en bruto. En Gmail: menú de tres puntos → Mostrar original. En Outlook: Archivo → Propiedades → Encabezados de Internet.

1. Localiza la cabecera DKIM-Signature. Encuentra el valor de la etiqueta d=.

1. Compara el valor de d= con el dominio de tu cabecera From:.

- Si d=esp-platform.com y From: [email protected] → ❌ No alineado

1. Revisa la cabecera Authentication-Results (