BIMI en subdominios: Cómo funciona la herencia

Publicar un registro BIMI para tu dominio organizacional extiende automáticamente la visualización del indicador de marca a cada subdominio desde el que envíes, sin necesidad de registros DNS adicionales. Comprender el modelo de herencia, sus límites y la dependencia de la alineación DMARC te ayudará a implementar BIMI correctamente en una infraestructura de envío compleja.

Cómo funciona la herencia de BIMI

La herencia de BIMI sigue la misma jerarquía de búsqueda utilizada por DMARC. Cuando un servidor de correo receptor evalúa un mensaje enviado desde marketing.example.com, busca un registro BIMI en este orden:

1. default._bimi.marketing.example.com — registro específico del subdominio
2. default._bimi.example.com — respaldo del dominio organizacional

Si no existe ningún registro a nivel de subdominio, el receptor recurre al registro del dominio organizacional. Esto significa que un único registro BIMI TXT publicado en default._bimi.example.com cubre todos los subdominios automáticamente.

Qué significa "dominio organizacional"

El dominio organizacional es el dominio registrado — la parte inmediatamente debajo de un sufijo público. Para mail.example.com y marketing.example.com, el dominio organizacional es example.com. La herencia de BIMI siempre resuelve hacia arriba hasta este nivel, nunca hacia un subdominio intermedio.

Publicar un único registro BIMI para todos los subdominios

Si todos tus subdominios de envío utilizan el mismo logotipo, un solo registro DNS es suficiente.

Pasos:

1. Confirma que tu dominio organizacional tiene una política DMARC válida (consulta los requisitos de alineación DMARC a continuación).
2. Prepara un logotipo SVG cuadrado que cumpla con el perfil SVG Tiny P/S.
3. Aloja el SVG en una URL HTTPS estable y de acceso público.
4. Publica un único registro BIMI TXT en tu dominio organizacional:

   default._bimi.example.com  TXT  "v=BIMI1; l=https://brand.example.com/logo.svg; a=https://brand.example.com/cert.pem"
   

1. Verifica que no existan registros BIMI en conflicto a nivel de subdominio.

Todos los subdominios — mail.example.com, marketing.example.com, transactional.example.com — ahora heredan este registro automáticamente.

Sobrescribir BIMI por subdominio

Puedes sobrescribir el registro heredado para cualquier subdominio individual publicando un registro BIMI TXT separado directamente en la etiqueta _bimi de ese subdominio.

Cuándo sobrescribir:

• Un subdominio envía bajo un logotipo de marca o producto diferente.
• Un subdominio requiere un Verified Mark Certificate (VMC) diferente.
• Deseas suprimir la visualización de BIMI para un subdominio específico (publica un registro nulo).

Pasos para sobrescribir:

1. Identifica el subdominio que requiere un logotipo o certificado diferente.
2. Publica un registro BIMI específico para el subdominio:

   default._bimi.marketing.example.com  TXT  "v=BIMI1; l=https://brand.example.com/marketing-logo.svg; a=https://brand.example.com/marketing-cert.pem"
   

1. El registro específico del subdominio tiene precedencia total sobre el registro del dominio organizacional para los mensajes enviados desde ese subdominio.

Para suprimir BIMI en un subdominio, publica un registro con un valor l= vacío:

default._bimi.noreply.example.com  TXT  "v=BIMI1; l=;"

Cobertura del VMC en subdominios

Un Verified Mark Certificate (VMC) autentica tu logotipo y es requerido por los principales proveedores de correo — incluyendo Gmail y Apple Mail — para mostrar el indicador de marca con una marca de verificación.

Un VMC cubre todos los subdominios que usan el mismo logotipo

Un VMC se emite contra un archivo de logotipo específico (el SVG), no contra un dominio o subdominio específico. Siempre que el mismo SVG sea referenciado en todos tus registros BIMI, un único VMC cubre tu dominio organizacional y cada subdominio que hereda o referencia explícitamente ese logotipo.

No necesitas un VMC por subdominio.

Múltiples logotipos requieren múltiples VMCs

Si diferentes subdominios muestran logotipos diferentes — por ejemplo, un logotipo de marca matriz en mail.example.com y un logotipo de marca de producto en app.example.com — cada logotipo distinto requiere su propio VMC.

| Escenario | VMCs requeridos | |---|---| | Un logotipo, uno o varios subdominios | 1 VMC | | Dos logotipos en dos subdominios | 2 VMCs | | Tres logotipos en diez subdominios | 3 VMCs |

El factor determinante es siempre el número de logotipos únicos, no el número de dominios o subdominios.

Requisitos de alineación DMARC para subdominios

BIMI no se mostrará a menos que el mensaje enviado pase la autenticación DMARC. Para remitentes de subdominios, la configuración crítica de DMARC es la etiqueta sp= — la política de subdominios.

La etiqueta sp=

La etiqueta sp= en el registro DMARC de tu dominio organizacional define la política aplicada a los mensajes de subdominios. BIMI requiere una política de quarantine o reject — una política de none es insuficiente.

Ejemplo de registro DMARC con política de subdominios:

_dmarc.example.com  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Reglas de herencia de políticas

| Registro DMARC | Política de subdominio aplicada | |---|---| | p=reject; sp=reject | Los subdominios heredan reject ✅ | | p=reject; sp=quarantine | Los subdominios usan quarantine ✅ | | p=reject; sp=none | Los subdominios usan none — BIMI no se mostrará ❌ | | p=reject (sin etiqueta sp=) | Los subdominios heredan p=reject ✅ | | p=none (sin etiqueta sp=) | Los subdominios heredan none — BIMI no se mostrará ❌ |

Importante: Si se omite sp=, los subdominios heredan el valor de p=. Asegúrate de que p= esté configurado como quarantine o reject antes de depender de la herencia.

Registros DMARC específicos de subdominios

También puedes publicar un registro DMARC directamente en un subdominio para sobrescribir la política heredada:

_dmarc.marketing.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]"

Un registro DMARC a nivel de subdominio tiene precedencia total sobre el registro del dominio organizacional para ese subdominio — la misma lógica de herencia y sobrescritura que se aplica a los registros BIMI.

Errores comunes de BIMI en subdominios

| Error | Resultado | Solución | |---|---|---| | sp=none en DMARC | BIMI suprimido en todos los subdominios | Configura sp=quarantine o sp=reject | | Publicar un VMC por subdominio innecesariamente | Costo y complejidad innecesarios | Un VMC por logotipo único es suficiente | | Olvidar sobrescribir un subdominio con un logotipo diferente | Se muestra el logotipo incorrecto | Publica un registro BIMI específico del subdominio | | Alojar el SVG sobre HTTP | Registro ignorado | Sirve el SVG solo sobre HTTPS | | Usar un perfil SVG no compatible | Logotipo rechazado por los proveedores de correo | Convierte a SVG Tiny P/S |

Referencia rápida: Lista de verificación de BIMI para subdominios

• [ ] DMARC p=