SPF, DKIM et DMARC pour Klaviyo : la checklist pour sécuriser votre délivrabilité
SPF, DKIM et DMARC pour Klaviyo sont souvent traités comme trois cases DNS à cocher. C'est une erreur. Ces mécanismes répondent à des questions différentes et doivent fonctionner ensemble pour que Gmail, Yahoo, Outlook ou Orange puissent relier le message à votre domaine.
Trois voyants verts dans une interface ne prouvent rien si l'adresse visible, la signature DKIM et la politique DMARC ne sont pas cohérentes. La méthode tient en cinq étapes, sans improvisation dans vos DNS.
Ce que SPF, DKIM et DMARC vérifient pour Klaviyo
SPF publie les serveurs autorisés à envoyer pour un domaine technique. DKIM ajoute au message une signature cryptographique liée à un domaine. DMARC vérifie l'alignement avec le domaine affiché dans l'adresse From et indique au fournisseur de messagerie comment traiter un échec.
Une campagne peut donc passer SPF mais échouer DMARC si le domaine SPF n'est pas aligné avec l'adresse d'expédition. Elle peut aussi passer DKIM grâce au domaine générique de la plateforme, sans renforcer correctement la réputation de votre marque.
Klaviyo explique ces rôles dans son guide sur l'authentification email. Gardez cette distinction en tête : SPF autorise, DKIM signe, DMARC aligne et applique une politique.
Un test "pass" isolé ne suffit pas à prouver que votre domaine de marque est protégé.
Étape 1 : choisir un domaine d'envoi de marque
Utilisez un sous-domaine dédié, par exemple send.votremarque.fr ou email.votremarque.fr. Il sépare les réglages marketing du domaine principal tout en restant reconnaissable par le destinataire.
Dans Klaviyo, ouvrez Settings, puis Domains and Hosting. Lancez la configuration du branded sending domain. La plateforme fournit les enregistrements à ajouter chez votre hébergeur DNS. Selon la méthode proposée, il peut s'agir d'enregistrements NS ou de CNAME associés à une vérification TXT.
Ne copiez pas les valeurs d'un ancien tutoriel. Utilisez celles affichées dans votre compte. Les sélecteurs, cibles et méthodes de routage peuvent évoluer.
Exemple : votre adresse visible est bonjour@marque.fr et vous configurez send.marque.fr comme domaine d'envoi. La signature DKIM peut alors être alignée avec marque.fr, ce qui permet à DMARC de valider le message.
Créez le domaine dans Klaviyo avant d'éditer les DNS, puis recopiez chaque hôte et chaque valeur à l'identique.
Étape 2 : publier les enregistrements sans casser SPF
Un domaine ne doit avoir qu'un seul enregistrement SPF. Ajouter un second TXT commençant par v=spf1 crée une ambiguïté et peut rendre SPF invalide. Si votre domaine racine a déjà un SPF pour Google Workspace ou Microsoft 365, ne collez pas automatiquement une deuxième ligne.
Avec un domaine d'envoi de marque géré par Klaviyo, la plateforme configure généralement l'authentification nécessaire sur le sous-domaine indiqué. Suivez la valeur exacte fournie dans l'assistant et vérifiez la documentation de votre fournisseur DNS.
Attention aux interfaces qui ajoutent automatiquement le nom de domaine. Si Klaviyo demande send, saisir send.marque.fr peut créer send.marque.fr.marque.fr. Contrôlez le résultat avec un outil DNS public.
Klaviyo maintient un guide de dépannage DNS et SPF qui distingue les enregistrements attendus selon le type de domaine.
Faites une capture des DNS avant modification et changez une seule zone à la fois.
Étape 3 : vérifier DKIM et l'alignement
Une fois les enregistrements propagés, validez le domaine dans Klaviyo. Envoyez ensuite un message réel vers Gmail et Outlook. Ouvrez les en-têtes complets et cherchez SPF, DKIM et DMARC.
DKIM doit afficher pass. Regardez surtout le domaine après d=. Il doit appartenir à votre domaine organisationnel ou à un sous-domaine aligné, selon votre politique DMARC. Comparez-le au domaine après @ dans l'adresse From.
Si Klaviyo confirme le domaine mais que les en-têtes utilisent encore un domaine générique, vérifiez que le domaine d'envoi est bien actif pour le compte et que le message n'est pas parti depuis un environnement de test différent.
La méthode de vérification par les en-têtes évite de se fier uniquement à l'interface Klaviyo.
La preuve finale se trouve dans le message reçu, pas dans la zone DNS.
Étape 4 : déployer DMARC progressivement
DMARC se publie dans un enregistrement TXT sur _dmarc.marque.fr. Commencez généralement par p=none pour collecter des rapports sans demander le blocage des messages. Ajoutez une adresse rua dédiée aux rapports agrégés.
Exemple de politique de surveillance :
v=DMARC1; p=none; rua=mailto:dmarc@marque.fr; pct=100
Ne passez pas directement à p=reject si d'autres outils envoient avec votre domaine : support, facturation, avis clients, recrutement, caisse ou marketplace. Inventoriez-les et vérifiez leur alignement. Ensuite, passez à quarantine, puis reject lorsque les sources légitimes sont couvertes.
DMARC au domaine racine couvre généralement les sous-domaines, sauf politique sp= spécifique. Faites valider la syntaxe avant publication. Une faute dans rua ne bloque pas l'envoi, mais une politique mal pensée peut bloquer une source légitime.
DMARC devient utile quand les rapports servent à identifier les expéditeurs autorisés et les usurpations.
Étape 5 : contrôler l'adresse From et les réponses
Utilisez une adresse From sur votre propre domaine. Évitez Gmail, Outlook ou une autre adresse grand public pour des campagnes de marque. Gardez un nom d'expéditeur stable et une boîte Reply-To surveillée.
L'adresse de retour technique, la signature DKIM et l'adresse visible peuvent être différentes. DMARC exige qu'au moins SPF ou DKIM passe et soit aligné avec le From. Dans Klaviyo, l'alignement DKIM via le domaine de marque est le chemin le plus lisible.
Testez aussi la réception d'une réponse. Une configuration techniquement correcte avec une boîte Reply-To abandonnée envoie un mauvais signal humain et complique le support.
L'authentification protège l'identité d'envoi, mais la réputation dépend encore du consentement et de l'engagement.
La checklist avant mise en production
- Le domaine d'envoi de marque est actif dans Klaviyo.
- Chaque hôte DNS existe une seule fois et pointe vers la valeur fournie.
- Le domaine ne contient pas deux enregistrements SPF concurrents.
- Un email reçu affiche SPF=pass, DKIM=pass et DMARC=pass.
- Le domaine DKIM est aligné avec le domaine de l'adresse From.
- DMARC commence par une politique surveillée et une adresse rua exploitable.
- Toutes les autres plateformes d'envoi ont été inventoriées.
- L'adresse Reply-To reçoit réellement les réponses.
- Les tests ont été faits sur plusieurs fournisseurs de boîte mail.
- La date, les valeurs et les résultats ont été documentés.
Les erreurs que nous rencontrons le plus souvent
Sur les configurations que nous auditons, quatre erreurs reviennent : SPF dupliqué, CNAME saisi avec le domaine deux fois, DMARC passé en reject sans inventaire et adresse From restée sur un domaine différent.
La configuration DNS n'améliore pas instantanément un domaine déjà dégradé. Elle établit une identité fiable. Pour réparer la réputation, il faut ensuite réduire l'audience, stabiliser le volume et obtenir de meilleurs signaux d'engagement.
Si plusieurs outils envoient pour votre marque, faites contrôler l'ensemble avant de durcir DMARC. Sqrilo peut auditer votre environnement Klaviyo et établir un plan de correction sans couper les envois légitimes.
SPF, DKIM et DMARC gèrent l'identité de l'expéditeur à travers les DNS. Une erreur touche directement la délivrabilité et la sécurité de la marque.