Klaviyo: dominio de envío dedicado y alineación DMARC

envio.ejemplo.es.           CNAME  sviluppo.klaviyomail.com.
klei1._domainkey.envio.ejemplo.es.  CNAME  dkim1.klaviyomail.com.
klei2._domainkey.envio.ejemplo.es.  CNAME  dkim2.klaviyomail.com.

La alineación DMARC: ambos mecanismos se alinean

Una vez el dominio de envío dedicado en su sitio, la alineación cambia por completo. DMARC solo valida un mensaje si SPF o DKIM pasa y se alinea con el dominio del From. Aquí, la firma DKIM lleva d=envio.ejemplo.es, un subdominio de ejemplo.es: en modo relajado — el valor por defecto de DMARC — se alinea. El sobre, también en el subdominio, alinea SPF de la misma forma. Ambos mecanismos pasan alineados.

Es el escenario que DMARC espera, y aporta la redundancia: si una redirección rompe SPF, DKIM sobrevive, y a la inversa. Bajo DMARCbis, la pertenencia del subdominio a ejemplo.es se determina mediante el DNS Tree Walk en lugar de la antigua Public Suffix List, pero el resultado es idéntico: envio.ejemplo.es pertenece a la misma organización. Los ejemplos de registros DMARC comentados muestran dónde se articulan estos elementos en la política del dominio.

El cerrojo antes de p=reject

Este es el punto que todo comerciante debe recordar al construir su protección. Klaviyo es muy a menudo la fuente que impide a un dominio de comercio alcanzar p=reject sin destrozos. El razonamiento es directo: pasar a una política estricta protege el dominio de la suplantación, pero rechaza al mismo tiempo todo tráfico legítimo no alineado — y el tráfico de Klaviyo forma parte de él, mientras parte del dominio compartido.

La secuencia sana es, pues, clara: configurar el dominio de envío dedicado antes de endurecer la política, verificar en los informes que las campañas de Klaviyo se alinean, y solo entonces pasar a p=quarantine y después p=reject. Hacer lo inverso — endurecer primero, corregir después — equivale a cortar las propias campañas hasta darse cuenta. Para una tienda, esa ventana se mide en ingresos perdidos. La subida de política se prepara, no se improvisa; el camino hacia p=reject y los retos propios del DMARC para el comercio electrónico detallan esta progresión.

El dominio de marca para el seguimiento de enlaces

Junto al dominio de envío, Klaviyo propone personalizar el dominio de seguimiento de enlaces — el que reescribe las URL de las campañas para medir los clics. Por defecto, esos enlaces apuntan a un dominio de Klaviyo; la personalización los enruta a través de un subdominio de la marca (por ejemplo enlaces.ejemplo.es), colocado también como CNAME. Este ajuste no tiene efecto sobre la alineación DMARC — DMARC juzga solo al remitente, no los enlaces del cuerpo — pero cuenta por dos razones vecinas: la confianza del destinatario, que ve URL a nombre de la marca en lugar de un tercero desconocido, y la entregabilidad, ya que algunos filtros desconfían de los dominios de redirección compartidos.

Distinguirlo del dominio de envío evita una confusión frecuente: dos subdominios, dos papeles. envio.ejemplo.es porta la autenticación (SPF, DKIM, alineación); enlaces.ejemplo.es reviste las URL de seguimiento. Configurar uno no exime del otro, y solo el primero pesa sobre DMARC.

IP dedicada y volumen de comercio electrónico

El comercio en línea genera picos de envío — rebajas, lanzamientos, fechas señaladas — que pesan sobre la reputación. Klaviyo ofrece, en volúmenes altos, IP dedicadas reservadas a una cuenta. Como en todas partes, una IP dedicada nueva se calienta: se sube en volumen a lo largo de varios días, so pena de que los proveedores destinatarios la traten como sospechosa. Esta elección no tiene efecto sobre la alineación DMARC — DKIM y SPF se alinean de la misma forma sea cual sea la IP — pero pesa en la entregabilidad, y por tanto en las tasas de entrega de los informes.

Distinguir un problema de reputación de un problema de alineación es precisamente lo que permiten los informes agregados: el primero se lee en las tasas de entrega y las quejas, el segundo en las columnas SPF y DKIM. Para una tienda, esta distinción es directamente financiera — un bache de entregabilidad en plena campaña no se corrige de la misma manera que un defecto de autenticación, y confundirlos cuesta tiempo en el peor momento.

Los errores de configuración habituales

Varias trampas reaparecen en el corpus de informes que el analizador DMARC gratuito procesa a diario.

Quedarse en el dominio compartido y endurecer igualmente. El más costoso: p=reject puesto mientras Klaviyo aún parte de klaviyomail.com — las campañas se rechazan hasta la puesta en marcha del dominio dedicado.

Publicar los CNAME sin validar en Klaviyo. Mientras la consola no confirme la detección, la firma de marca no se aplica: los envíos vuelven al dominio compartido.

Elegir un subdominio ya utilizado. El subdominio de envío debe estar dedicado a Klaviyo; reutilizar un subdominio que ya sirve para otro uso crea conflictos de CNAME.

Olvidar la coherencia del From. El dominio de la dirección mostrada debe seguir siendo el de la marca (ejemplo.es) para que la alineación relajada del subdominio funcione; cambiar el From por una dirección de otro dominio rompe el razonamiento y deja las campañas sin alinear.

La contraprueba: los informes RUA

La única prueba de que una configuración aguanta no es la consola de Klaviyo, sino lo que reportan los destinatarios. Una vez publicado un registro _dmarc con una dirección rua=, los informes agregados llegan en unos días y detallan, fuente por fuente, qué se alinea y qué falla. La lectura de los informes DMARC agregados muestra el vuelco con claridad: antes del dominio dedicado, la fuente de Klaviyo aparece no alineada en SPF y en DKIM; después, se alinea en ambos.

Basta una cadencia sencilla: una primera lectura unos días después de configurar el dominio dedicado, una vez que varios destinatarios han reportado, luego un vistazo semanal mientras la política siga en p=none. Un punto de calendario propio del comercio: es mejor confirmar la alineación sobre un periodo de envío real — una campaña, no solo una prueba — ya que es el tráfico de campaña el que cuenta el día de las rebajas. Una vez observado ese vuelco durante varios días y sobre envíos reales, el paso a p=reject se hace sin riesgo para las campañas. El analizador en línea recompone este estado a partir de los registros publicados y de los informes recibidos, y sitúa el dominio en el camino que lleva a p=reject.