Klaviyoの​SPF・DKIM・DMARC設定。

Klaviyoを認証すべき理由

Klaviyoでのbranded sending domainの設定は、見た目だけの問題ではなく、キャンペーンが受信トレイに届くかどうかを左右します。初期状態のKlaviyoでは共有IPと共有のklaviyomail.comドメインが使われるため、Gmailの受信者には送信者名の横に文字どおり「via klaviyomail.com」と表示されます。Fromアドレスのアライメントが一致せず、DMARCにも成功できません。レピュテーションも、その共有インフラを使う他の未認証の送信者全員とひとまとめになります。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年にOutlook/Hotmailのドメインで同じ要件の適用を始め、要件を満たさない大量メールを、まず迷惑メールに振り分け、その後は拒否するようになりました。branded sending domainなら、これらを一度に解決できます。SPFとDKIMはどちらも自社ドメインとアライメントが一致し、「via」の表示が消え、DMARCに成功します。積み上げた送信レピュテーションも、Klaviyoの共有プールではなく自社ドメインに蓄積されます。Klaviyo自身も、まさにこの理由から、現在ほとんどのアカウントに追加を促しています。

KlaviyoにおけるSPFの実情

Klaviyoは委任方式（CNAME/NS）のドメイン認証サービスです。そのため、ルートドメインのSPFレコードに追加すべき「include:klaviyo...」は、どのアカウントにもありません。branded sending domainを設定すると、Klaviyoは専用の送信用サブドメイン（提案はsend.yourdomain.com）で認証を行います。SPFの満たし方は、選択するルーティング方式によって異なります。Dynamic routing（推奨）では、4つのNSレコードを公開し、send.yourdomain.comのサブドメイン全体をKlaviyoのネームサーバー（ns1～ns4.klaviyo.com）に引き渡します。すると、Klaviyoが委任されたゾーン内にSPFとDKIMのレコードを自ら公開するため、他に追加するものはありません。自分でDNSを操作しなくても、Klaviyoが鍵のローテーションや送信IPの切り替えを行えます。Static routingでは、代わりにCNAME（send.yourdomain.comから1.klaviyodns.comへ）を追加します。これがエンベロープ/Return-Pathのホストになり、Klaviyo自身のSPFで許可された範囲に解決されるため、サブドメイン上でSPFが満たされます。この場合もルートドメインへのincludeは不要です。Klaviyoがルートドメイン用のv=spf1の行を案内することはありません。案内される唯一のTXTレコード（klaviyo-site-verification=your-public-API-key）はドメインの所有権確認用で、SPFではありません。DMARCには、緩和されたアライメントによって引き続き成功します。送信用サブドメインは組織ドメインを共有しているためSPFのアライメントが一致し、DKIMは自社ドメインで署名します（kmセレクターはkm1._domainkey.yourdomain.comにあります）。結論として、共有のSPFのincludeはなく、ルートドメインのSPFレコードに追加されるDNSルックアップは0回です。SPFとDKIMはどちらもNSレコードによる委任またはCNAMEによる委任で、送信用サブドメイン上に設定されます。

2つの設定方法

設定手順

追加するレコード

正確な値はKlaviyoのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Klaviyoの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

緑のチェックマークだけで判断せず、実際のメールで確認してください。branded domainのアドレスから自分宛てにキャンペーンまたはフローのテストを送り、Gmailで開いて3点メニューからShow originalを選びます。SPF: PASSとDKIM: PASSがどちらも自社ドメインを示し（「via klaviyomail.com」の表示も消え）、さらにDMARC: PASSと表示されていれば成功です。Klaviyoでは、SettingsのDomainsでドメインがVerifiedかつActiveと表示されるはずです。Qualisendのドメイン診断でドメインをチェックすれば、送信用サブドメイン（NSまたはCNAME）、km/kt/ksのDKIMセレクター、DMARCレコードがすべて解決されるか確認できます。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Klaviyoが、アライメントが一致し、認証に成功している送信元として表示されるはずです。個々のレコードは送信ドメイン認証チェックでも確認できます。

よくある注意点

• DNS設定

  Cloudflareのプロキシで機能しなくなります：Klaviyoのレコードはすべて「DNS only」（グレーのクラウド）に設定し、プロキシなしのままにしてください。プロキシが有効なレコードはKlaviyoに解決されないため、確認と継続的な認証のどちらも失敗します。

• DNS設定

  Cloudflare（および一部のレジストラ、BigCommerce）は、NSレコードでサブドメインをうまく委任できません。そのためDynamic routingは失敗することが多く、これらのホストではStatic routing（CNAME）を使ってください。

• 適用範囲

  送信用サブドメインから送信しないでください：表示上のFromはルートドメイン（you@yourdomain.com）のままにします。@send.yourdomain.comはメールボックスではないため、返信はバウンスします。ルートドメインから送信しても、サブドメインは組織ドメインの配下にあるので、DMARCのアライメントは一致します。

• DNS設定

  ホスト欄の二重化：多くのレジストラはドメインを自動で付加するため、send.yourdomain.comと入力するとsend.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベル（send、km1._domainkey、km2._domainkey）だけを入力してください。

• DNS設定

  CNAMEレコードのアンダースコア：km1._domainkey、km2._domainkeyのホストに含まれるアンダースコアを、CNAMEレコードで受け付けないDNS管理画面がごく一部にあります。アンダースコアは必須なので、許可しているホストを使うか、Klaviyoに問い合わせてください。

• 認証失敗の原因

  追加すべきSPFのincludeはありません。klaviyo-site-verificationのTXTレコードは所有権の確認用で、SPFではありません。ルートドメインにinclude:klaviyo...を自作しても意味がなく、10回のルックアップのうち1回を無駄に消費するだけです。

• 適用範囲

  送信タイプは最初に決めてください：Marketing、Transactional、ServiceではDKIMセレクター（km/kt/ks）が異なり、ServiceドメインにはMXレコードも必要です。レコードをやり直さずに、MarketingドメインをそのままServiceドメインに転用することはできません。

• 認証失敗の原因

  ルートドメインのTXTレコードは、SPFとDMARCをそれぞれ1つだけにしてください。KlaviyoはルートドメインのSPFレコードに何も追加しませんが、他のサービスからも送信している場合は、1つにまとめたSPFレコードを維持します。SPFレコードが2つあると、それ自体がPermErrorになります。

SPFレコードを作成

Klaviyoでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

KlaviyoのSPFに関するよくある質問

関連記事

マーケティング・ESPの他のサービス

• Mailchimp
• MailerLite
• Marketo
• Moosend
• Omnisend
• Salesforce Marketing Cloud
• Sender
• ActiveCampaign

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。