# Mensagens de remetente verificado e com marca

> Os programas de remetente verificado permitem a uma marca apresentar uma identidade de confiança e verificada — nome, logótipo e selo — em vez de uma cadeia de remetente anónima. O RCS usa o Verified Sender / agentes de negócio verificados, o SMS usa sender IDs registados, e o e-mail usa um certificado VMC publicado via BIMI. Cada um liga a marca apresentada a um registo verificado, para que os destinatários distingam remetentes genuínos de falsificadores.

- URL canônico: https://www.broadnet.me/pt/reference/verified-and-branded-sender-messaging
- Idioma: pt
- Última atualização: 2026-07-18
- Editor: BroadNet (https://www.broadnet.me)

Como as marcas provam quem são em vários canais: RCS Verified Sender e agentes de negócio verificados, registo de sender ID da GSMA e verificação de marca, e certificados VMC com BIMI para logótipos verificados no e-mail — os controlos que combatem a falsificação e a personificação.

## Porque é que a identidade do remetente precisa de ser verificada

Os canais de mensagens permitiram historicamente que um remetente escolhesse quase qualquer identidade: um sender ID alfanumérico de SMS é apenas uma cadeia de caracteres, um endereço From de e-mail é auto-declarado, e nenhum é autenticado no fio. Essa abertura é exatamente o que o phishing e o smishing exploram — uma mensagem fraudulenta que mostra o nome ou o logótipo de um banco é, para o destinatário, indistinguível de uma verdadeira. Os programas de remetente verificado fecham essa lacuna ao ligar a identidade que o destinatário vê a um registo que a plataforma verificou, e ao apresentar um sinal de confiança visível (um selo de verificação, um logótipo de marca) que um falsificador não consegue reproduzir. Entre RCS, SMS e e-mail os mecanismos diferem, mas o objetivo é o mesmo: tornar a marca apresentada demonstrável.

## RCS Verified Sender e agentes de negócio verificados

No RCS, a identidade de negócio é o agente, e um agente verificado é aquele que o operador e a plataforma MaaP verificaram através da verificação de marca antes do aprovisionamento. Um agente verificado apresenta o nome, o logótipo, a cor da marca e um selo de verificação no cliente de mensagens nativo, e o cliente pode expor informação de negócio adicional (descrição, website, contactos). Como a verificação está ancorada na cadeia operador/MaaP e não é auto-declarada, um assinante pode confiar que um agente RCS com selo é a marca real. É por isto que o RCS é posicionado como um canal resistente a phishing: a identidade rica e com marca é verificada, pelo que um imitador falsificado não consegue obter o selo.

*Mecanismos de remetente verificado por canal*

| Canal | Identidade verificada | Âncora de confiança |
|---|---|---|
| RCS | Agente empresarial verificado (nome, logotipo, cor, selo) | Verificação de marca pela operadora + MaaP |
| SMS | Sender ID registado (alfanumérico / short code) | Registo de sender ID da operadora / GSMA |
| WhatsApp | Empresa verificada (nome de exibição, selo verde) | Verificação de negócios Meta |
| E-mail | Logotipo da marca exibido ao lado da mensagem | Certificado VMC publicado via BIMI |

## Registo de sender ID para SMS

No SMS, a identidade é o endereço de origem — um sender ID alfanumérico, um short code ou um número longo — e num número crescente de mercados estes têm de ser registados antes de o tráfego ser aceite. O registo liga um sender ID a uma entidade jurídica verificada num registo do operador ou alinhado com a GSMA, para que sender IDs não registados ou incoerentes possam ser bloqueados ou substituídos na fronteira da rede. As regulamentações variam muito por país: algumas impõem pré-registo e whitelisting, algumas reservam inteiramente os IDs alfanuméricos, e algumas substituem por um identificador genérico o tráfego A2P não registado. Uma plataforma de mensagens concilia as regras de sender ID de cada mercado de destino antes de encaminhar, porque um remetente não registado num mercado rigoroso é simplesmente descartado.

## VMC e BIMI: logótipos verificados no e-mail

O esquema de remetente com marca do e-mail é o BIMI (Brand Indicators for Message Identification), que permite que o logótipo verificado de uma marca apareça junto às suas mensagens nos fornecedores de caixa de correio compatíveis. O BIMI não é uma alegação de confiança autónoma — assenta sobre a autenticação de e-mail. Um domínio tem primeiro de passar em SPF e DKIM e impor DMARC (uma política de quarantine ou reject), publicar depois um registo DNS BIMI que aponte para o logótipo e, para os fornecedores que o exigem, para um Verified Mark Certificate (VMC). Um VMC é emitido por uma autoridade de certificação autorizada apenas depois de verificar que a organização detém a marca registada do logótipo. Assim, o logótipo apresentado é sustentado tanto pela autenticação do domínio como por uma verificação de marca registada — um falsificador que não consiga passar no DMARC nem deter a marca registada não consegue mostrar o indicador.

*Registo BIMI que referencia um logótipo SVG e um VMC (exige DMARC imposto)*

```dns
; DMARC must be at enforcement first
_dmarc.brand.example.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@brand.example"

; BIMI: l = logo (SVG Tiny PS), a = VMC evidence (PEM)
default._bimi.brand.example.  TXT  "v=BIMI1; \
  l=https://brand.example/logo.svg; \
  a=https://brand.example/vmc.pem"
```

## Anti-falsificação e anti-personificação na prática

A identidade verificada só ajuda se o caminho não verificado também for policiado. Uma anti-personificação eficaz combina três movimentos: apresentar uma identidade verificável no canal legítimo (agente verificado, sender ID registado, logótipo BIMI); autenticar a origem para que as falsificações falhem (imposição de DMARC para e-mail, registo de sender ID e filtragem na fronteira para SMS, a cadeia operador/MaaP para RCS); e monitorizar imitadores (sender IDs homóglifos, domínios primos, termos de marca em tráfego não verificado). Como os atacantes mudam para o canal menos protegido, uma marca eleva a sua postura verificada em todos os canais de uma vez, em vez de um a um — a mesma lógica que trata a confiança nas mensagens como um programa transcanal e não como uma definição por produto.

*Riscos de personificação e o controlo que os contraria*

| Risco | Exemplo | Controlo |
|---|---|---|
| Falsificação de ID do remetente | SMS exibe o ID alfanumérico de um banco | Registo de sender ID + filtragem na borda |
| Remetente semelhante | Homóglifo ou string de marca quase idêntica | Verificação e monitorização de registos |
| Falsificação de e-mail | From forjado no domínio da marca | Aplicação de SPF + DKIM + DMARC |
| Falsificação de logotipo/selo | Logotipo falso da marca no cliente | VMC/BIMI (e-mail), agente verificado (RCS) |
| Pivô entre canais | O atacante se move para o canal mais fraco | Identidade verificada em todos os canais |

## Perguntas frequentes

### O que é um remetente verificado?

Um remetente verificado é uma marca cuja identidade apresentada — nome, logótipo e um selo de confiança — foi verificada e ligada a um registo pela plataforma, em vez de ser uma cadeia auto-declarada. O RCS usa agentes de negócio verificados, o SMS usa sender IDs registados, o WhatsApp usa empresas verificadas, e o e-mail usa um VMC publicado através do BIMI.

### O que é o RCS Verified Sender?

É o mecanismo RCS que verifica um agente de negócio através da verificação de marca do operador e do MaaP, e depois apresenta o nome, o logótipo, a cor da marca e um selo de verificação no cliente de mensagens nativo. Como o selo está ancorado na cadeia do operador e não pode ser auto-declarado, um imitador falsificado não o consegue obter, razão pela qual o RCS é tratado como resistente a phishing.

### O que é o registo de sender ID?

É o processo de ligar um endereço de origem de SMS (ID alfanumérico, short code ou número longo) a uma entidade jurídica verificada num registo do operador ou alinhado com a GSMA, para que sender IDs não registados ou incoerentes possam ser bloqueados ou substituídos na fronteira da rede. As regras variam por país, desde pré-registo e whitelisting rigorosos até reservar inteiramente os IDs alfanuméricos.

### O que são o VMC e o BIMI?

O BIMI (Brand Indicators for Message Identification) permite que um logótipo de marca verificado apareça junto ao e-mail nos fornecedores de caixa de correio compatíveis. Exige que o domínio imponha DMARC e publique um registo DNS BIMI, e muitos fornecedores exigem também um VMC (Verified Mark Certificate) — emitido apenas depois de uma CA confirmar que a organização detém a marca registada do logótipo.

### Porque é que o BIMI exige a imposição de DMARC?

O BIMI apresenta um logótipo como recompensa por um domínio comprovadamente protegido contra falsificação. Essa proteção é o DMARC em imposição (uma política de quarantine ou reject) sobre a passagem em SPF e DKIM. Sem DMARC imposto, um falsificador poderia forjar o domínio, pelo que os fornecedores de caixa de correio só mostram o logótipo BIMI quando as falsificações já estão a ser rejeitadas.

### Como é que os controlos de remetente verificado travam a personificação?

Combinam uma identidade apresentada verificável no canal legítimo, autenticação de origem para que as falsificações falhem (DMARC para e-mail, registo de sender ID e filtragem na fronteira para SMS, a cadeia operador/MaaP para RCS), e a monitorização de remetentes e domínios imitadores. Como os atacantes mudam para o canal menos protegido, as marcas elevam a postura verificada em todos os canais de uma vez.

## Fontes

- [GSMA — RCS business messaging and verified sender](https://www.gsma.com/solutions-and-impact/technologies/networks/rcs/)
- [BIMI Group — BIMI overview and implementation](https://bimigroup.org/)
- [IETF — BIMI (Brand Indicators for Message Identification) draft](https://datatracker.ietf.org/doc/draft-brand-indicators-for-message-identification/)

## Relacionados

- [Registo de sender ID](https://www.broadnet.me/pt/operators/sender-id-registry)
- [RCS Business Messaging e MaaP](https://www.broadnet.me/pt/reference/rcs-business-messaging-maap)
- [WhatsApp Business Cloud API](https://www.broadnet.me/pt/reference/whatsapp-business-cloud-api)
- [Mensagens RCS](https://www.broadnet.me/pt/products/rcs-messaging)
- [Omnicanal](https://www.broadnet.me/pt/products/omnichannel)
- [Plataforma CPaaS](https://www.broadnet.me/pt/platforms/cpaas)