SPF, DKIM, DMARC : authentifier les mails de votre boutique Shopify avec Klaviyo

Depuis 2024, Gmail et Yahoo traitent à part les mails qui ne prouvent pas d'où ils viennent. Microsoft a suivi en mai 2025, La Poste en septembre 2025, et Orange a encore resserré ses règles le 1er septembre 2026. Pour une boutique en ligne, cette preuve tient dans trois enregistrements DNS : SPF, DKIM et DMARC.

Une boutique Shopify qui envoie ses newsletters avec Klaviyo a deux expéditeurs. Shopify envoie les confirmations de commande et les mails de Shopify Messaging, Klaviyo envoie les campagnes et les flows. Chacun s'authentifie de son côté, et un seul enregistrement DMARC, posé sur votre domaine, couvre les deux. Voici l'ordre dans lequel je les règle, avec ce qu'il faut publier chez l'hébergeur de votre domaine (OVH, IONOS, Gandi, Cloudflare ou GoDaddy).

SPF, DKIM, DMARC : à quoi sert chaque enregistrement ?

Le SPF liste les serveurs autorisés à envoyer des mails pour un domaine. Il se vérifie sur l'adresse technique de retour (le Return-Path), que votre client ne voit jamais, et non sur l'adresse affichée dans le champ « De ».

Le DKIM est une signature. Le serveur d'envoi signe chaque mail avec une clé privée, la clé publique est publiée dans votre DNS, et la messagerie qui reçoit le mail compare les deux. Si le message a été modifié en route, ou s'il ne vient pas de chez vous, la signature ne correspond plus.

Le DMARC relie ces deux contrôles à l'adresse que voit votre client. Il demande qu'au moins l'un des deux passe avec un domaine aligné sur celui du champ « De », il dit à la messagerie quoi faire si ce n'est pas le cas (ne rien faire, mettre en indésirables ou rejeter), et il vous fait parvenir des rapports sur tout ce qui part en votre nom.

C'est là toute la différence entre DMARC et SPF. Un SPF valide ne dit rien de l'adresse affichée. Quelqu'un peut envoyer depuis un serveur autorisé pour son propre domaine et mettre votre marque dans le champ « De ». DMARC vérifie justement que les deux correspondent.

DMARC est-il obligatoire en 2026 ?

Aucune loi ne l'impose. Les messageries, elles, l'exigent de plus en plus tôt.

Le seuil de 5 000 mails paraît loin pour une petite boutique. Gmail compte pourtant les envois de tous vos sous-domaines ensemble, et une fois le seuil atteint, même un seul jour, le statut d'expéditeur en nombre vous reste définitivement. Orange commence à 1 000 mails par jour, et La Poste ne fixe pas de seuil. Je considère donc qu'une marque qui envoie des newsletters doit avoir les trois enregistrements en place, quel que soit son volume. Dans un accompagnement email marketing e-commerce, c'est le premier réglage que je vérifie.

Shopify : authentifier le domaine de vos mails

Shopify envoie en votre nom les confirmations de commande, les avis d'expédition et, si vous l'utilisez, les campagnes de Shopify Messaging, le nouveau nom de Shopify Email depuis décembre 2025. Tous ces mails partent de l'adresse d'expéditeur réglée dans Paramètres > Notifications, sous « E-mail de l'expéditeur ». (Si vous avez confié vos confirmations de commande à Klaviyo, voyez aussi comment désactiver les mails de notification Shopify.)

Juste sous cette adresse, Shopify propose d'authentifier votre domaine (« Email domain authentication » dans l'admin en anglais). Deux cas de figure.

• Votre domaine est chez Cloudflare, GoDaddy ou IONOS. Shopify peut poser les enregistrements tout seul après connexion à votre compte chez l'hébergeur. Il ne crée pas le DMARC pour autant, il faudra l'ajouter vous-même.

• Votre domaine est ailleurs (OVH, Gandi, o2switch…). Shopify affiche des enregistrements CNAME à recopier, en général trois pour la signature DKIM et un pour l'adresse de retour. Leurs noms sont propres à chaque boutique, recopiez donc ceux de votre admin et jamais un modèle trouvé sur un forum.

Ces CNAME règlent aussi le SPF. Vous n'avez rien à ajouter à votre enregistrement SPF pour Shopify, et le conseil d'y mettre include:shops.shopify.com, qu'on lit encore sur des forums, ne figure plus dans la documentation de Shopify.

Shopify exige ensuite un enregistrement DMARC, au minimum v=DMARC1; p=none, et un seul par domaine. Si votre DMARC contient adkim=s ou aspf=s (alignement strict), Shopify demande de repasser ces valeurs à r.

Si vous laissez tout ça de côté, Shopify remplace votre adresse par une adresse du type store+123@shopifyemail.com. Vos clients reçoivent toujours leurs confirmations, mais elles n'arrivent plus de votre domaine.

Si vous avez acheté votre domaine chez Shopify, tout est configuré automatiquement, DMARC compris. Un enregistrement DMARC existe donc déjà. Pour le modifier, passez par Paramètres > Domaines, puis les réglages DNS du domaine, au lieu d'en créer un second.

Klaviyo : configurer un domaine d'envoi dédié

Sans réglage particulier, Klaviyo envoie vos campagnes depuis ses propres domaines. Vos clients voient alors la mention « via klaviyomail.com » à côté de votre nom, et aucun de vos mails n'est aligné avec votre domaine. Klaviyo ne vous oblige pas à changer ça. Gmail, si, dès que vous dépassez son seuil d'expéditeur en nombre.

Il vous faut un domaine d'envoi dédié (« branded sending domain »), c'est-à-dire un sous-domaine du vôtre que Klaviyo utilise pour signer et envoyer vos mails. Il se crée dans Paramètres > Domaines > Ajouter un domaine.

Le choix du sous-domaine

Prenez un sous-domaine qui ne sert à rien d'autre. Klaviyo suggère send.votremarque.fr pour le marketing, updates.votremarque.fr pour le transactionnel et support.votremarque.fr pour le service client. Évitez mail.votremarque.fr s'il porte déjà votre messagerie, c'est une cause d'échec fréquente à l'activation. Gardez votre adresse habituelle comme expéditeur, bonjour@votremarque.fr par exemple. Le sous-domaine reste en coulisses, et si vous l'utilisez comme adresse d'expéditeur, les réponses de vos clients se perdent.

Mode Dynamic ou mode Static

Dans les deux cas, copiez les valeurs générées dans votre compte. Les exemples de l'aide Klaviyo montrent la forme des enregistrements, les valeurs changent d'un compte à l'autre.

Vérifier, puis activer

La propagation prend jusqu'à 48 heures. Une fois les enregistrements vérifiés, rien n'a encore changé pour vos envois, car Klaviyo n'active pas le domaine tout seul. Il faut cliquer sur Activer, et pour un premier domaine marketing, Klaviyo demande de mettre en pause tous les envois avant de le faire.

Si le domaine a été enregistré il y a moins de 30 jours, ou si le compte Klaviyo est nouveau, prévoyez deux à quatre semaines de chauffe. Pendant cette période, on envoie d'abord aux abonnés les plus engagés, puis on élargit petit à petit. Un domaine plus ancien, qui a déjà servi à envoyer des mails, n'a pas besoin d'être chauffé de nouveau.

Ce qui a changé en 2026

Depuis le 28 mai 2026, Klaviyo accepte un domaine séparé pour les mails transactionnels (les flows marqués comme tels) et un autre pour le service client (Helpdesk, Customer Agent). L'idée est d'éviter qu'une campagne qui se passe mal pèse sur la réputation de vos mails de commande. Le même jour, Klaviyo a ouvert le domaine de suivi des clics en libre-service, sur plan payant. Vos liens passent alors par un sous-domaine à vous (trk.votremarque.fr) au lieu d'un domaine Klaviyo.

Côté SPF, rien à faire pour Klaviyo. L'adresse de retour de vos mails est gérée par Klaviyo, et votre SPF racine n'est pas consulté pour ces envois.

L'enregistrement DMARC pas à pas, avec un exemple

Un seul enregistrement DMARC suffit pour Shopify comme pour Klaviyo. Il se pose sur votre domaine racine, sous la forme d'un TXT nommé _dmarc. Pour démarrer, voici la valeur à publier :

v=DMARC1; p=none; rua=mailto:dmarc@votremarque.fr

La balise p fixe la politique, rua l'adresse qui recevra les rapports. Créez cette adresse avant de publier, ou utilisez celle que vous donne un service de lecture de rapports. Les balises adkim et aspf sont inutiles au départ. Par défaut, l'alignement est souple, ce qui permet au sous-domaine d'envoi de Klaviyo de s'aligner sur votre domaine.

Chez votre hébergeur

• OVHcloud : Web Cloud > Noms de domaine > votre domaine > Zone DNS. Ajoutez une entrée TXT, ou utilisez le formulaire DMARC d'OVH, et saisissez seulement _dmarc dans le champ du sous-domaine.

• IONOS : Domaines & SSL, l'engrenage à côté du domaine, puis DNS > Ajouter un enregistrement > TXT, avec _dmarc comme nom d'hôte.

• Cloudflare : onglet DNS du domaine, nouvel enregistrement de type TXT nommé _dmarc. Cloudflare ajoute les guillemets tout seul.

• Gandi : enregistrements DNS du domaine (LiveDNS), type TXT, nom _dmarc.

Le piège le plus courant, quel que soit l'hébergeur, c'est de saisir le nom complet. Si vous tapez _dmarc.votremarque.fr et que l'hébergeur ajoute le domaine derrière, l'enregistrement devient _dmarc.votremarque.fr.votremarque.fr et aucune messagerie ne le trouve.

Vérifiez aussi qu'il n'existe pas déjà un DMARC, ce qui est le cas si votre domaine vient de Shopify ou si vous avez activé l'option DMARC proposée par Klaviyo. Avec deux enregistrements DMARC sur le même domaine, les messageries les ignorent tous les deux.

De p=none à p=reject

Avec p=none, les messageries appliquent leurs règles habituelles et vous envoient seulement les rapports. C'est pour ça que les outils de test affichent « DMARC policy not enabled » tant que vous restez à ce stade. Google conseille de laisser p=none au moins une semaine en lisant les rapports chaque jour, puis de passer à p=quarantine sur une petite part des mails, de monter progressivement, et d'aller jusqu'à p=reject si nécessaire.

Les rapports arrivent sous forme de fichiers XML, illisibles en l'état. Pour une marque, Postmark envoie une synthèse hebdomadaire gratuite par mail, et Cloudflare propose un tableau de bord gratuit si votre DNS est chez eux. Le plan gratuit de dmarcian, souvent cité, est réservé à un usage personnel.

Je passe en quarantine quand les rapports ne montrent plus que des sources connues, c'est-à-dire Shopify, Klaviyo, votre messagerie (Google Workspace, Microsoft 365, OVH) et les outils qui envoient en votre nom, comme un logiciel de facturation ou de service client. C'est souvent à ce moment qu'on retrouve l'outil oublié qui envoyait des mails depuis votre domaine sans aucune authentification.

Vérifier que tout passe

Envoyez-vous une campagne de test depuis Klaviyo et passez une commande test sur Shopify, vers une adresse Gmail. Ouvrez le mail, cliquez sur les trois points à côté de « Répondre », puis sur Afficher l'original. En haut de la page, les lignes SPF, DKIM et DMARC doivent indiquer PASS, et la mention « via » doit avoir disparu à côté du nom de l'expéditeur.

Pour un domaine Klaviyo en mode Dynamic, je commence toujours par interroger le DNS du sous-domaine d'envoi. L'adresse https://dns.google/resolve?name=send.votremarque.fr&type=NS doit renvoyer ns1 à ns4.klaviyo.com. Ne concluez pas à une absence de DKIM parce qu'un outil ne trouve rien sur km1._domainkey. En Dynamic, Klaviyo gère les clés derrière la délégation et leurs noms changent. En mode Static, les clés km1 et km2 sont publiées sur votre domaine racine.

MXToolbox signale souvent un DKIM manquant sur les domaines Klaviyo alors que tout fonctionne, un membre de l'équipe Klaviyo l'a confirmé sur leur forum. Les en-têtes du mail reçu font foi. Pour voir chaque contrôle étape par étape, learndmarc.com est l'outil le plus parlant. Vous lui envoyez un mail et il vous montre ce que la messagerie vérifie.

Domaine vérifié mais bouton « Activer » grisé dans Klaviyo

C'est l'un des problèmes qui reviennent le plus sur la communauté Klaviyo en 2026. Tous les enregistrements sont au vert et le bouton Activer reste grisé, parfois pendant des jours. Klaviyo reconnaît le problème, sans correctif publié à ce jour. Voici, dans l'ordre, ce qui a débloqué les cas rapportés.

1. Attendre quelques heures après la vérification, la synchronisation prend parfois du retard.

2. Désactiver la traduction automatique du navigateur, qui empêche parfois la case de confirmation de s'enregistrer.

3. Couper le proxy Cloudflare (le nuage orange) sur les enregistrements Klaviyo.

4. Vérifier que le sous-domaine n'est pas déjà rattaché à un autre compte Klaviyo, celui d'une ancienne agence par exemple.

5. Supprimer le domaine dans Klaviyo et le réajouter, sans toucher au DNS. C'est la solution proposée par l'équipe Klaviyo le 13 octobre 2026.

6. Passer en mode Static si le mode Dynamic ne s'active jamais, comme dans plusieurs cas rapportés chez GoDaddy.

7. Ouvrir un ticket au support, qui peut nettoyer la configuration restée d'un ancien domaine.

Tant que le statut n'est pas « actif », vos mails partent toujours du domaine partagé de Klaviyo, même si toutes les coches sont vertes.

BIMI : votre logo dans la boîte de réception

Une fois votre DMARC en quarantine ou en reject sur l'ensemble de vos mails, sous-domaines compris, vous pouvez publier un enregistrement BIMI. Votre logo s'affiche alors à côté de vos mails dans Gmail, Apple Mail, Yahoo ou La Poste. Outlook ne l'affiche pas.

Gmail demande un certificat payant, renouvelé chaque année. Le VMC suppose une marque déposée et donne la coche bleue, le CMC est plus simple à obtenir mais sans coche. Le logo doit être au format SVG Tiny PS. La Poste affiche le logo même sans certificat, sur demande via son site postmaster.

Je le garde pour la fin. Le certificat pèse dans le budget d'une petite marque, et le logo ne règle aucun problème de délivrabilité. Il a du sens pour une marque déposée, déjà en p=quarantine ou p=reject depuis plusieurs semaines.

Questions fréquentes

DMARC est-il obligatoire pour une boutique Shopify ?

Shopify l'exige pour envoyer depuis votre propre domaine, au minimum en p=none. Gmail, Yahoo et Outlook l'exigent des expéditeurs en nombre, La Poste et Orange de presque tout le monde.

Faut-il un DMARC pour Shopify et un autre pour Klaviyo ?

Non. Un seul enregistrement _dmarc sur votre domaine racine couvre tous vos outils d'envoi. S'il y en a deux, les messageries les ignorent.

Que veut dire « DMARC policy not enabled » ?

Que votre DMARC est en p=none. Il est valide et vous recevez les rapports, mais il ne demande encore aucune action aux messageries. Le message disparaît au passage en p=quarantine.

Peut-on passer directement en p=reject ?

Techniquement oui, mais vous risquez de bloquer des mails légitimes envoyés par un outil oublié. Passez d'abord par p=none et la lecture des rapports, au moins une semaine selon Google.

Faut-il ajouter Shopify ou Klaviyo dans son SPF ?

Ni l'un ni l'autre. Shopify gère le SPF avec ses CNAME, Klaviyo avec son propre domaine de retour. Votre SPF racine ne liste que votre messagerie, par exemple include:_spf.google.com pour Google Workspace ou include:mx.ovh.com pour OVH, et il ne doit en exister qu'un.

Combien de temps faut-il pour que tout soit actif ?

Jusqu'à 48 heures pour Shopify comme pour Klaviyo, 24 heures au plus chez OVH. Comptez ensuite deux à quatre semaines de chauffe si votre domaine d'envoi est neuf.

Vous voulez savoir si votre configuration tient la route ? Réservez un audit Klaviyo gratuit.