Los programas de remitente verificado permiten a una marca mostrar una identidad de confianza y verificada —nombre, logotipo e insignia— en vez de una cadena de remitente anónima. RCS usa Verified Sender / agentes de empresa verificados, SMS usa sender IDs registrados, y el correo usa un certificado VMC publicado vía BIMI. Cada uno vincula la marca mostrada a un registro verificado, para que los destinatarios distingan a los remitentes genuinos de los suplantadores.
- Envíe su pack de KYCLicencia comercial, carta de autorización y ejemplos de mensajes
- BroadNet tramita la solicitudAnte los operadores o el regulador, según exija el mercado
- Revisión y aprobación
- Envíe bajo su propia marcaSu Sender ID aprobado en cada mensaje
Por qué hay que verificar la identidad del remitente
Los canales de mensajería históricamente dejaban al remitente elegir casi cualquier identidad: un sender ID alfanumérico de SMS es solo una cadena, una dirección From de correo es autoafirmada, y ninguna se autentica en el hilo. Esa apertura es exactamente lo que explotan el phishing y el smishing: un mensaje fraudulento que muestra el nombre o el logotipo de un banco es indistinguible, para el destinatario, de uno real. Los programas de remitente verificado cierran esa brecha vinculando la identidad que ve el destinatario a un registro que la plataforma ha verificado, y mostrando una señal de confianza visible (una insignia de verificación, un logotipo de marca) que un suplantador no puede reproducir. En RCS, SMS y correo los mecanismos difieren, pero el objetivo es el mismo: hacer demostrable la marca mostrada.
RCS Verified Sender y agentes de empresa verificados
En RCS, la identidad de empresa es el agente, y un agente verificado es uno que el operador y la plataforma MaaP han verificado mediante la verificación de marca antes de aprovisionarlo. Un agente verificado presenta el nombre, el logotipo, el color de marca y una insignia de verificación en el cliente de mensajería nativo, y el cliente puede exponer información de empresa adicional (descripción, sitio web, datos de contacto). Como la verificación está anclada en la cadena operador/MaaP en vez de autoafirmada, un abonado puede confiar en que un agente RCS con insignia es la marca real. Por eso RCS se posiciona como un canal resistente al phishing: la identidad enriquecida y con marca está verificada, de modo que una imitación suplantada no puede obtener la insignia.
| Canal | Identidad verificada | Ancla de confianza |
|---|---|---|
| RCS | Agente de empresa verificado (nombre, logotipo, color, insignia) | Verificación de marca del operador + MaaP |
| SMS | Identificador de remitente registrado (alfanumérico/código corto) | Registro de ID de remitente del operador/GSMA |
| Empresa verificada (nombre visible, distintivo verde) | Verificación comercial de Meta | |
| Correo electrónico | Logotipo de la marca mostrado junto al mensaje | Certificado VMC publicado a través de BIMI |
Registro de sender-ID para SMS
En SMS la identidad es la dirección de origen —un sender ID alfanumérico, un short code o un número largo— y en un número creciente de mercados estos deben registrarse antes de que se acepte el tráfico. El registro vincula un sender ID a una entidad legal verificada en un registro del operador o alineado con la GSMA, de modo que los sender IDs no registrados o discordantes pueden bloquearse o sobrescribirse en el borde de la red. Las regulaciones varían mucho según el país: algunas imponen preregistro y whitelisting, algunas reservan por completo los IDs alfanuméricos, y algunas sustituyen por un identificador genérico el tráfico A2P no registrado. Una plataforma de mensajería concilia las reglas de sender-ID de cada mercado de destino antes de encaminar, porque un remitente no registrado en un mercado estricto simplemente se descarta.
VMC y BIMI: logotipos verificados en el correo
El esquema de remitente con marca del correo es BIMI (Brand Indicators for Message Identification), que permite que el logotipo de marca verificado aparezca junto a sus mensajes en los proveedores de buzón compatibles. BIMI no es una afirmación de confianza independiente: se apoya sobre la autenticación del correo. Un dominio primero debe pasar SPF y DKIM y aplicar DMARC (una política de quarantine o reject), luego publicar un registro DNS de BIMI que apunte al logotipo y, para los proveedores que lo exigen, a un Verified Mark Certificate (VMC). Un VMC lo emite una autoridad de certificación autorizada solo tras verificar que la organización posee la marca registrada del logotipo. Así, el logotipo mostrado está respaldado tanto por la autenticación del dominio como por una comprobación de marca registrada: un suplantador que no puede pasar DMARC ni posee la marca registrada no puede mostrar el indicador.
; DMARC must be at enforcement first
_dmarc.brand.example. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@brand.example"
; BIMI: l = logo (SVG Tiny PS), a = VMC evidence (PEM)
default._bimi.brand.example. TXT "v=BIMI1; \
l=https://brand.example/logo.svg; \
a=https://brand.example/vmc.pem"Antisuplantación y antiimpersonación en la práctica
La identidad verificada solo ayuda si el camino no verificado también está vigilado. Una antiimpersonación eficaz combina tres movimientos: mostrar una identidad verificable en el canal legítimo (agente verificado, sender ID registrado, logotipo BIMI); autenticar el origen para que las falsificaciones fallen (aplicación de DMARC para el correo, registro de sender-ID y filtrado en el borde para SMS, la cadena operador/MaaP para RCS); y vigilar imitaciones (sender IDs con homoglifos, dominios primos, términos de marca en tráfico no verificado). Como los atacantes pivotan hacia el canal menos protegido, una marca eleva su postura verificada en todos los canales a la vez en vez de uno por uno: la misma lógica que trata la confianza en la mensajería como un programa entre canales y no como un ajuste por producto.
| Riesgo | Ejemplo | Control |
|---|---|---|
| Suplantación del ID de remitente | SMS muestra el ID alfanumérico del banco | Registro de identificador de remitente + filtrado en el borde |
| Remitente parecido | Cadena de marca homoglífica o casi idéntica | Verificación por el registro + monitorización |
| Suplantación de identidad por correo electrónico | From falsificado en el dominio de la marca | Aplicación de SPF + DKIM + DMARC |
| Falsificación de logotipos/insignias | Logotipo de marca falso en el cliente | VMC/BIMI (correo electrónico), agente verificado (RCS) |
| Pivote entre canales | El atacante se mueve al canal más débil | Identidad verificada en todos los canales |
Preguntas frecuentes
¿Qué es un remitente verificado?
Un remitente verificado es una marca cuya identidad mostrada —nombre, logotipo e insignia de confianza— ha sido verificada y vinculada a un registro por la plataforma, en vez de ser una cadena autoafirmada. RCS usa agentes de empresa verificados, SMS usa sender IDs registrados, WhatsApp usa empresas verificadas, y el correo usa un VMC publicado a través de BIMI.
¿Qué es RCS Verified Sender?
Es el mecanismo de RCS que verifica un agente de empresa mediante la verificación de marca del operador y MaaP, y luego muestra el nombre, el logotipo, el color y una insignia de verificación en el cliente de mensajería nativo. Como la insignia está anclada en la cadena del operador y no puede autoafirmarse, una imitación suplantada no puede obtenerla, y por eso RCS se trata como resistente al phishing.
¿Qué es el registro de sender-ID?
Es el proceso de vincular una dirección de origen de SMS (ID alfanumérico, short code o número largo) a una entidad legal verificada en un registro del operador o alineado con la GSMA, de modo que los sender IDs no registrados o discordantes puedan bloquearse o reemplazarse en el borde de la red. Las reglas varían según el país, desde el preregistro estricto y el whitelisting hasta reservar por completo los IDs alfanuméricos.
¿Qué son VMC y BIMI?
BIMI (Brand Indicators for Message Identification) permite que el logotipo de marca verificado aparezca junto al correo en los proveedores de buzón compatibles. Requiere que el dominio aplique DMARC y publique un registro DNS de BIMI, y muchos proveedores exigen además un VMC (Verified Mark Certificate), emitido solo tras que una CA confirme que la organización posee la marca registrada del logotipo.
¿Por qué BIMI exige la aplicación de DMARC?
BIMI muestra un logotipo como recompensa a un dominio que está demostrablemente protegido frente a la suplantación. Esa protección es DMARC en aplicación (una política de quarantine o reject) sobre la superación de SPF y DKIM. Sin DMARC aplicado, un suplantador podría falsificar el dominio, así que los proveedores de buzón solo muestran el logotipo BIMI una vez que las falsificaciones ya se están rechazando.
¿Cómo detienen la impersonación los controles de remitente verificado?
Combinan una identidad mostrada verificable en el canal legítimo, autenticación de origen para que las falsificaciones fallen (DMARC para el correo, registro de sender-ID y filtrado en el borde para SMS, la cadena operador/MaaP para RCS), y vigilancia de remitentes y dominios imitadores. Como los atacantes pivotan hacia el canal menos protegido, las marcas elevan la postura verificada en todos los canales a la vez.
Especificaciones de la fuente
Las normas publicadas en las que se basa esta página. Se abre en una pestaña nueva.