Klaviyo : domaine d'envoi dédié et alignement DMARC

envoi.exemple.fr.           CNAME  sviluppo.klaviyomail.com.
klei1._domainkey.envoi.exemple.fr.  CNAME  dkim1.klaviyomail.com.
klei2._domainkey.envoi.exemple.fr.  CNAME  dkim2.klaviyomail.com.

L'alignement DMARC : les deux mécanismes s'alignent

Une fois le domaine d'envoi dédié en place, l'alignement bascule du tout au tout. DMARC ne valide un message que si SPF ou DKIM passe et s'aligne avec le domaine du champ From. Ici, la signature DKIM porte d=envoi.exemple.fr, un sous-domaine de exemple.fr : en mode relâché — le défaut de DMARC —, il s'aligne. L'enveloppe, au sous-domaine elle aussi, aligne SPF de la même façon. Les deux mécanismes passent alignés.

C'est le scénario que DMARC attend, et il apporte la redondance : si une redirection casse SPF, DKIM survit, et réciproquement. Sous DMARCbis, le rattachement du sous-domaine à exemple.fr se détermine par le DNS Tree Walk plutôt que par l'ancienne Public Suffix List, mais le résultat est identique : envoi.exemple.fr relève de la même organisation. Les enregistrements décortiqués ligne à ligne montrent où s'articulent ces éléments dans la politique du domaine.

Un point rassurant tient à l'étendue de Klaviyo : tous les flux — campagnes ponctuelles, séquence de bienvenue, relances de panier abandonné, séries post-achat — partent par le même domaine d'envoi dédié et héritent de la même authentification. Le configurer une fois les couvre tous ; il n'y a pas de réglage à répéter par automatisation. Cela compte d'autant plus que les domaines de commerce sont des cibles d'usurpation privilégiées : une confirmation de commande ou un avis d'expédition porte assez de légitimité pour qu'une copie forgée trompe le client — raison même pour laquelle atteindre une politique appliquée vaut l'effort de configuration.

Le verrou avant p=reject

C'est le point à retenir pour tout marchand qui construit sa protection. Klaviyo est très souvent la source qui empêche un domaine de commerce d'atteindre p=reject sans casse. Le raisonnement est direct : passer à une politique stricte protège le domaine de l'usurpation, mais rejette du même coup tout trafic légitime non aligné — et le trafic Klaviyo, tant qu'il part du domaine partagé, en fait partie.

La séquence saine est donc claire : configurer le domaine d'envoi dédié avant de durcir la politique, vérifier dans les rapports que les campagnes Klaviyo s'alignent, puis seulement passer à p=quarantine puis p=reject. Faire l'inverse — durcir d'abord, corriger ensuite — revient à couper ses propres campagnes le temps de s'en apercevoir. Pour une boutique, cette fenêtre se compte en revenus perdus. La montée en politique se prépare, elle ne s'improvise pas ; le chemin vers p=reject et les enjeux propres au DMARC pour le e-commerce détaillent cette progression.

Le domaine de suivi des liens

À côté du domaine d'envoi, Klaviyo propose de personnaliser le domaine de suivi des liens — celui qui réécrit les URL des campagnes pour mesurer les clics. Par défaut, ces liens pointent vers un domaine de Klaviyo ; la personnalisation les fait passer par un sous-domaine de la marque (par exemple liens.exemple.fr), posé lui aussi en CNAME. Ce réglage n'a aucun effet sur l'alignement DMARC — DMARC ne juge que l'expéditeur, pas les liens du corps — mais il compte pour deux raisons voisines : la confiance du destinataire, qui voit des URL au nom de la marque plutôt que d'un tiers inconnu, et la délivrabilité, certains filtres se méfiant des domaines de redirection partagés.

Le distinguer du domaine d'envoi évite une confusion fréquente : deux sous-domaines, deux rôles. envoi.exemple.fr porte l'authentification (SPF, DKIM, alignement) ; liens.exemple.fr habille les URL de suivi. Configurer l'un ne dispense pas de l'autre, et seul le premier pèse sur DMARC.

IP dédiée et volume e-commerce

Le commerce en ligne génère des pics d'envoi — soldes, lancements, marronniers — qui pèsent sur la réputation. Klaviyo propose, sur les volumes élevés, des IP dédiées réservées à un compte. Comme partout, une IP dédiée neuve se chauffe : montée en volume progressive sur plusieurs jours, faute de quoi les fournisseurs destinataires la traitent comme suspecte. Ce choix n'a aucun effet sur l'alignement DMARC — DKIM et SPF s'alignent de la même façon quelle que soit l'IP — mais il pèse sur la délivrabilité, donc sur les taux de remise des rapports.

Distinguer un problème de réputation d'un problème d'alignement est précisément ce que les rapports agrégés permettent : le premier se lit dans les taux de remise et les plaintes, le second dans les colonnes SPF et DKIM. Pour une boutique, cette distinction est directement financière — un creux de délivrabilité en pleine campagne ne se corrige pas de la même manière qu'un défaut d'authentification, et les confondre coûte du temps au plus mauvais moment.

Les erreurs de configuration courantes

Plusieurs pièges reviennent dans le corpus de rapports que l'analyseur DMARC gratuit traite au quotidien.

Rester sur le domaine partagé et durcir quand même. Le plus coûteux : p=reject posé alors que Klaviyo part encore de klaviyomail.com — les campagnes sont rejetées jusqu'à la mise en place du domaine dédié.

Publier les CNAME sans valider dans Klaviyo. Tant que la console n'a pas confirmé la détection, la signature de marque n'est pas apposée : les envois repartent sur le domaine partagé.

Choisir un sous-domaine déjà utilisé. Le sous-domaine d'envoi doit être dédié à Klaviyo ; réutiliser un sous-domaine qui sert déjà à un autre usage crée des conflits de CNAME.

Oublier la cohérence du From. Le domaine de l'adresse affichée doit rester celui de la marque (exemple.fr) pour que l'alignement relâché du sous-domaine joue ; changer le From pour une adresse d'un autre domaine casse le raisonnement et laisse les campagnes non alignées.

La contre-épreuve : les rapports RUA

La seule preuve qu'une configuration tient n'est pas la console Klaviyo, mais ce que rapportent les destinataires. Une fois l'enregistrement _dmarc publié avec une adresse rua=, les rapports agrégés arrivent sous quelques jours et détaillent, source par source, ce qui s'aligne et ce qui échoue. La lecture des rapports DMARC agrégés montre clairement le basculement : avant le domaine dédié, la source Klaviyo apparaît non alignée sur SPF comme sur DKIM ; après, elle s'aligne sur les deux.

Une cadence simple suffit : une première lecture quelques jours après la configuration du domaine dédié, une fois que plusieurs destinataires ont rapporté, puis un coup d'œil hebdomadaire tant que la politique reste en p=none. C'est la confirmation que la source Klaviyo est passée à l'alignement complet qui autorise à durcir. Un point de calendrier propre au commerce : il vaut mieux confirmer l'alignement sur une période d'envoi réelle — une campagne, pas seulement un test — car c'est le trafic de campagne qui compte le jour des soldes. Une fois ce basculement observé sur plusieurs jours et sur de vrais envois, la montée vers p=reject se fait sans risque pour les campagnes. L'analyseur en ligne recompose cet état à partir des enregistrements publiés et des rapports reçus, et situe le domaine sur le chemin qui mène à p=reject.