SPF, DKIM e DMARC per Klaviyo.
Klaviyo autentica il tuo dominio tramite un branded sending domain (il nome attuale di quello che prima si chiamava dedicated sending domain), che configuri in Settings, poi Domains: non si incolla una riga SPF condivisa. Scegli un sottodominio di invio (Klaviyo suggerisce send.yourdomain.com) e lo deleghi a Klaviyo, con quattro record NS (Dynamic routing, consigliato) oppure con tre record CNAME (Static routing). Questa delega gestisce per te SPF e DKIM con rotazione automatica, quindi, una volta verificati i record e dopo aver fatto clic su Activate, Klaviyo invia con il tuo dominio: l'etichetta “via klaviyomail.com” sparisce, SPF e DKIM si allineano e DMARC può essere superato.
Perché autenticare Klaviyo?
Configurare un branded sending domain in Klaviyo non è una questione estetica: decide se le tue campagne raggiungono la posta in arrivo. Di base Klaviyo ti mette su un IP condiviso e sul suo dominio condiviso klaviyomail.com, quindi chi riceve su Gmail vede letteralmente “via klaviyomail.com” accanto al tuo nome, il tuo indirizzo From non è allineato, DMARC non può essere superato e la tua reputazione finisce nello stesso calderone di tutti gli altri mittenti non autenticati su quell'infrastruttura condivisa. Da febbraio 2024 Gmail e Yahoo richiedono a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno) di superare SPF, DKIM e DMARC con allineamento, e nel 2025 Microsoft ha iniziato ad applicare le stesse regole ai domini Outlook/Hotmail, spostando nello spam e poi rifiutando la posta ad alto volume non conforme. Un branded sending domain risolve tutto in una sola mossa: SPF e DKIM si allineano entrambi al tuo dominio, l'etichetta “via” sparisce, DMARC viene superato e la reputazione di invio che costruisci si accumula sul tuo dominio invece che sul pool condiviso di Klaviyo. Proprio per questo motivo Klaviyo stessa ormai sollecita la maggior parte degli account ad aggiungerne uno.
Come funziona davvero SPF con Klaviyo
Klaviyo autentica il dominio per delega (CNAME/NS), quindi NON c'è nessun “include:klaviyo...” da aggiungere al tuo SPF radice, per nessuno. Quando configuri un branded sending domain, Klaviyo autentica su un sottodominio di invio dedicato (suggerisce send.yourdomain.com), e il modo in cui SPF viene soddisfatto dipende dal metodo di routing che scegli. Con Dynamic routing (consigliato) pubblichi quattro record NS che affidano l'intero sottodominio send.yourdomain.com ai nameserver di Klaviyo (da ns1 a ns4.klaviyo.com); Klaviyo pubblica poi da sola i record SPF e DKIM dentro quella zona delegata, quindi non devi aggiungere altro e Klaviyo può ruotare le chiavi e cambiare gli IP di invio senza che tu tocchi mai il DNS. Con Static routing aggiungi invece un CNAME (send.yourdomain.com verso 1.klaviyodns.com) che diventa l'host della busta/Return-Path: poiché si risolve nello spazio autorizzato dall'SPF di Klaviyo, SPF è soddisfatto lì, sul sottodominio, ancora una volta senza alcun include sul dominio radice. Klaviyo, per scelta esplicita, non ti fornisce una riga v=spf1 per il dominio radice; l'unico TXT che ti dà (klaviyo-site-verification=your-public-API-key) serve a verificare la proprietà del dominio, non è SPF. DMARC viene comunque superato grazie all'allineamento relaxed: il sottodominio di invio condivide il tuo dominio organizzativo, quindi SPF si allinea, e DKIM firma con il tuo dominio (i selettori km si trovano in km1._domainkey.yourdomain.com). In sintesi: nessun include SPF condiviso, zero ricerche DNS in più sul tuo SPF radice; SPF e DKIM sono delegati sul sottodominio send, tramite delega NS oppure tramite CNAME.
Due modi per configurarlo
Dynamic routing: delega NS (consigliato)
- Quattro record NS affidano il tuo sottodominio send.yourdomain.com a Klaviyo (da ns1 a ns4.klaviyo.com); Klaviyo pubblica per te SPF e DKIM dentro quella zona delegata
- Klaviyo sceglie dinamicamente il provider di invio/IP più performante per ogni messaggio, cosa che secondo Klaviyo garantisce la deliverability migliore
- Le chiavi ruotano e l'infrastruttura di invio cambia senza che tu debba mai rimettere mano al DNS
- Aggiunge zero ricerche al tuo SPF radice: non c'è nulla da unire
Static routing: CNAME (alternativa di riserva)
- Tre CNAME (send verso 1.klaviyodns.com, più km1 e km2._domainkey verso km1/km2.domainkey.1.klaviyodns.com) ti vincolano a un unico host di invio statico di Klaviyo
- Usalo quando il tuo provider DNS non riesce a delegare correttamente un sottodominio con un record NS: i casi più comuni sono Cloudflare e BigCommerce
- Con questo metodo, i domini Service (helpdesk) richiedono anche un record MX per il routing della posta in entrata
- Resta un'autenticazione del dominio basata su CNAME: nessun include sul dominio radice, e DKIM continua a ruotare in automatico tramite i due CNAME
Passo dopo passo
- 1
Apri le impostazioni Domains
Fai clic sul nome della tua azienda nell'angolo in basso a sinistra, scegli Settings, apri la scheda Domains e poi fai clic su Add Domain.
- 2
Scegli il tipo di invio
Scegli Marketing (predefinito: campagne e flow), Transactional (ricevute, reset della password) o Service (risposte dell'helpdesk). Da questa scelta dipendono i selettori DKIM: km1/km2 per Marketing, kt1/kt2 per Transactional, ks1/ks2 per Service.
- 3
Imposta il sottodominio di invio
Inserisci il sottodominio da usare: Klaviyo suggerisce “send”, che dà send.yourdomain.com. Usa un sottodominio, non direttamente il dominio radice.
- 4
Scegli il metodo di routing
Scegli Dynamic (record NS, consigliato) per la deliverability migliore, oppure Static (record CNAME) se il tuo provider DNS non può delegare un sottodominio via NS. Klaviyo mostra poi i record esatti per la tua scelta.
- 5
Aggiungi i record mostrati da Klaviyo
Dynamic routing: aggiungi i 4 record NS per send.yourdomain.com che puntano ai nameserver da ns1 a ns4.klaviyo.com. Static routing: aggiungi il CNAME send (verso 1.klaviyodns.com) più i due CNAME DKIM km1._domainkey e km2._domainkey. Copia i valori esattamente come li elenca Klaviyo: sono specifici del tuo account.
- 6
Aggiungi il TXT di verifica
Aggiungi il record TXT sul dominio radice (klaviyo-site-verification=your-public-API-key) così Klaviyo può confermare che il dominio è tuo. Serve con entrambi i metodi di routing e non è un record SPF.
- 7
Disattiva il proxy di Cloudflare
Se il tuo DNS è su Cloudflare (o su un altro provider con proxy), imposta ogni record su “DNS only” (nuvola grigia). Un record con proxy attivo non si risolve in Klaviyo e la verifica fallisce; inoltre deve restare senza proxy anche dopo, altrimenti l'autenticazione smette di funzionare.
- 8
Aggiungi il record MX (solo tipo Service)
Se hai scelto il tipo Service con Static routing, aggiungi anche il record MX indicato da Klaviyo, così le risposte al tuo indirizzo di helpdesk vengono instradate correttamente.
- 9
Fai clic su Verify
Torna in Settings, poi Domains, e fai clic su Verify. Vedrai “Verification success”, un “Verification error” (i record sono sbagliati) oppure un avviso di conflitto. Di solito la propagazione DNS richiede pochi minuti, ma può arrivare a 48 ore.
- 10
Attiva il dominio
Una volta verificato, fai clic su Activate, così Klaviyo inizia a inviare dal branded domain. Domini o IP nuovi di zecca possono comunque richiedere un breve periodo di warm-up prima di arrivare al volume pieno.
- 11
Imposta l'indirizzo From sul dominio radice
Invia da un indirizzo sul dominio radice (you@yourdomain.com), NON sul sottodominio send. Le risposte vanno al From visibile e @send.yourdomain.com non è una vera casella; DMARC si allinea comunque perché il sottodominio rientra nel tuo dominio organizzativo.
Record da aggiungere
Klaviyo genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| CNAME | send | 1.klaviyodns.comStatic routing: il sottodominio di invio (busta / Return-Path). È questo a soddisfare SPF, senza alcun include sul dominio radice. Dynamic routing sostituisce questo singolo CNAME con 4 record NS che delegano send.yourdomain.com ai nameserver da ns1 a ns4.klaviyo.com. L'“1” iniziale è un numero di host di invio specifico dell'account. |
| CNAME | km1._domainkey | km1.domainkey.1.klaviyodns.comChiave DKIM 1 (rotazione automatica). Il selettore è km1/km2 per Marketing, kt1/kt2 per Transactional, ks1/ks2 per Service. Solo per Static routing: Dynamic pubblica questi record dentro la zona del sottodominio delegato. |
| CNAME | km2._domainkey | km2.domainkey.1.klaviyodns.comChiave DKIM 2 (rotazione automatica). Secondo selettore per lo stesso dominio. |
| TXT | @ | klaviyo-site-verification=your-public-API-keyVerifica della proprietà del dominio sul dominio radice: NON è un record SPF. Si aggiunge con entrambi i metodi di routing. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comLa tua policy DMARC: una per dominio, sul dominio radice. La procedura di Klaviyo segnala se hai già un record DMARC e suggerisce un semplice v=DMARC1; p=none;, ma non può pubblicarlo per te: lo aggiungi tu qui. Includi un rua per raccogliere davvero i report. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Klaviyo.
La configurazione consigliata di Klaviyo aggiunge 0 ricerche: tutte e 10 restano libere per i mittenti che hanno davvero bisogno di un include.
DKIM
DKIM è delegato a Klaviyo, non è una chiave da incollare. Con Static routing si tratta di due record CNAME: km1._domainkey.yourdomain.com e km2._domainkey.yourdomain.com, che puntano a km1.domainkey.N.klaviyodns.com e km2.domainkey.N.klaviyodns.com (N è il numero dell'host di invio del tuo account). I selettori cambiano in base al tipo di invio scelto: km1/km2 per un dominio Marketing, kt1/kt2 per Transactional, ks1/ks2 per Service; un secondo dominio dello stesso tipo riceve la coppia successiva (km3/km4 e così via). Con Dynamic routing non aggiungi alcun record DKIM: Klaviyo li pubblica dentro la zona send.yourdomain.com che hai delegato via NS. In entrambi i casi Klaviyo conserva le chiavi private e ruota le chiavi DKIM pubblicate dietro quei selettori, quindi non devi mai rimettere mano al DNS e non c'è alcuna chiave TXT da copiare. Poiché DKIM firma con il tuo dominio, si allinea per DMARC. Un'avvertenza: gli host _domainkey contengono underscore che alcuni pannelli DNS rifiutano nei record CNAME. L'underscore è obbligatorio, quindi usa un provider che lo consenta o chiedi al supporto Klaviyo.
DMARC
DMARC è un TXT di policy separato in _dmarc.yourdomain.com, non uno dei CNAME, e si trova sul tuo dominio radice/organizzativo, fuori dal sottodominio send controllato da Klaviyo: per questo Klaviyo non può pubblicarlo al posto tuo, nemmeno con Dynamic routing. La sua procedura di configurazione segnala se hai già un record DMARC e suggerisce un valore, ma il record lo aggiungi tu nel tuo DNS. Parti da un v=DMARC1; p=none; di solo monitoraggio, che basta a soddisfare il requisito di Gmail/Yahoo di avere un record DMARC senza influire sul recapito, e aggiungi un rua per ricevere davvero i report aggregati, ad esempio v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Controlla quei report per una o due settimane per confermare che Klaviyo superi SPF e DKIM con allineamento al tuo dominio, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi: vale per ogni sorgente, quindi non aggiungerne un secondo solo per Klaviyo.
Verifica che funzioni davvero
Non fidarti solo delle spunte verdi: controlla su un messaggio reale. Inviati un test di una campagna o di un flow da un indirizzo del branded domain, aprilo in Gmail e scegli il menu a tre puntini, poi Show original: devi vedere SPF: PASS e DKIM: PASS, entrambi con il tuo dominio (e senza più la nota “via klaviyomail.com”), più DMARC: PASS. In Klaviyo, in Settings, poi Domains, il dominio deve risultare “Verified” e “Active”. Analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che il sottodominio send (NS o CNAME), i selettori DKIM km/kt/ks e il tuo record DMARC si risolvano tutti e, quando iniziano ad arrivare i report aggregati, caricane uno nell'analizzatore di report DMARC: Klaviyo dovrebbe comparire come sorgente allineata che supera i controlli. Puoi anche fare una verifica puntuale dei singoli record con il controllo SPF/DKIM/DMARC.
Insidie comuni
- Configurazione DNS
Il proxy di Cloudflare rompe tutto: imposta ogni record Klaviyo su “DNS only” (nuvola grigia) e lascialo senza proxy. Un record con proxy attivo non si risolve in Klaviyo, quindi falliscono sia la verifica sia l'autenticazione successiva.
- Configurazione DNS
Cloudflare (e alcuni registrar, oltre a BigCommerce) non riesce a delegare correttamente un sottodominio con un record NS, quindi su questi provider Dynamic routing spesso fallisce: usa invece Static routing (CNAME).
- Copertura
Non inviare dal sottodominio send: tieni il From visibile sul dominio radice (you@yourdomain.com). @send.yourdomain.com non è una casella, quindi le risposte rimbalzerebbero; DMARC si allinea comunque perché il sottodominio rientra nel tuo dominio organizzativo.
- Configurazione DNS
Dominio duplicato nel campo host: molti registrar aggiungono automaticamente il dominio, quindi inserire send.yourdomain.com produce send.yourdomain.com.yourdomain.com. Inserisci solo l'etichetta (send, km1._domainkey, km2._domainkey) se il pannello aggiunge il dominio per te.
- Configurazione DNS
Underscore nei CNAME: gli host km1._domainkey / km2._domainkey contengono underscore che alcuni pannelli DNS rifiutano nei record CNAME. Sono obbligatori, quindi usa un provider che li consenta o contatta Klaviyo.
- Fa fallire l'autenticazione
Non c'è alcun include SPF da aggiungere: il TXT klaviyo-site-verification serve a verificare la proprietà, non è SPF. Inventarsi un include:klaviyo... sul dominio radice non serve a niente e consuma inutilmente una delle tue 10 ricerche SPF.
- Copertura
Scegli subito il tipo di invio: Marketing, Transactional e Service usano selettori DKIM diversi (km/kt/ks) e i domini Service richiedono anche un record MX. Non puoi riconvertire tacitamente un dominio Marketing in un dominio Service senza rifare i record.
- Fa fallire l'autenticazione
Tieni esattamente un TXT SPF e un TXT DMARC sul dominio radice. Klaviyo non aggiunge nulla al tuo SPF radice, ma se invii già tramite altri provider, lascia un unico record SPF unificato: avere due record SPF è di per sé un PermError.
Crea il tuo record SPF
Klaviyo non richiede un include: nel record SPF del dominio radice. Usa il generatore per comporre un unico record pulito per gli altri mittenti e tienilo su una sola riga.
Fonti di invio
Cerca ogni piattaforma con cui invii email e selezionala.
Cerca qui sopra la tua piattaforma email oppure .
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
Ancora nessun mittente, quindi ogni messaggio finirebbe nella policy ~all. Aggiungi al passaggio 1 le piattaforme con cui invii.
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Klaviyo: domande frequenti
Letture correlate
Altri provider: Marketing ed ESP
Tutte le guide SPFDopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.