NXDOMAIN erklärt: Warum sich eine Domain nicht auflöst

NXDOMAIN – „non-existent domain“ – ist eine der klarsten Antworten, die DNS geben kann. Sie bedeutet nicht, dass ein Server in ein Timeout gelaufen ist oder dass vorgelagert etwas falsch konfiguriert wäre. Sie bedeutet, dass ein autoritativer Nameserver nach einem Namen gefragt wurde und unmissverständlich erklärt hat, dass es in seiner Zone keinen solchen Namen gibt. Es ist eine eindeutige negative Antwort, kein Fehler im üblichen Sinn.

Die häufigsten tatsächlichen Ursachen

• Ein Tippfehler in der Domain – exmaple.com statt example.com ist für DNS ein anderer (und vermutlich nicht registrierter) Name.
• Die Registrierung der Domain ist abgelaufen und wurde nie verlängert.
• Die abgefragte Subdomain wurde nie angelegt – die Root-Domain löst sich einwandfrei auf, aber api.example.com hat nie einen eigenen Record bekommen.
• Ein Record wurde bei einer Migration gelöscht oder umbenannt, und nichts wurde an seine Stelle gesetzt.

Warum ein erneuter Versuch nicht hilft

Ein DNS-Timeout oder ein SERVFAIL kann vorübergehend sein – ein Server war kurz überlastet, ein Netzwerkpfad hatte einen kurzen Aussetzer –, und ein erneuter Versuch einen Moment später ist oft genau der richtige Schritt. NXDOMAIN ist anders: Es ist eine direkte, autoritative Aussage, dass der Name nicht registriert ist. Dieselbe Abfrage zu wiederholen liefert dieselbe Antwort, weil sich an der zugrunde liegenden Registrierung nichts geändert hat. Genau deshalb behandelt ein gut gebautes Lookup-Tool NXDOMAIN als dauerhaften Fehler und bricht schnell ab, statt Wiederholungen und Zeit an eine Abfrage zu verschwenden, die nie erfolgreich sein würde.

Eine Feinheit, die man kennen sollte: NXDOMAIN gilt für den gesamten Namen, nicht für einen bestimmten Record-Typ. Hat eine Domain einen A-Record, aber keinen AAAA-Record, liefert die AAAA-Abfrage kein NXDOMAIN – sie liefert eine erfolgreiche Antwort mit leerer Antwortmenge (mitunter als NODATA ausgewiesen). NXDOMAIN bedeutet ausdrücklich, dass der Name selbst keinerlei Records irgendeiner Art hat.

Wenn ein NXDOMAIN gar kein echtes NXDOMAIN ist

Manche ISPs und öffentliche WLAN-Netze fangen echte NXDOMAIN-Antworten stillschweigend ab und ersetzen sie durch eigene – sie leiten eine falsch geschriebene oder nicht registrierte Domain auf eine Suchseite voller Werbung um, statt ehrlich „das existiert nicht“ zurückzugeben. Das ist eine reale Praxis, kein Mythos, und genau die Art von Vorgehen, die das Vertrauen in eine DNS-Antwort untergräbt: Ein Resolver, der das tut, lügt nicht über eine Domain, die existiert, versteckt aber das echte NXDOMAIN hinter einem konstruierten, monetarisierten Ergebnis. Wer direkt einen bekannten, neutralen öffentlichen Resolver abfragt – einen ohne kommerziellen Grund, eine Sackgasse umzuleiten –, umgeht das vollständig und erhält die tatsächliche Antwort des autoritativen Servers.

NXDOMAIN bei einer Domain, die garantiert registriert ist

Am verwirrendsten ist es, NXDOMAIN für eine Domain zu sehen, von der man weiß, dass sie registriert ist und bis vor Kurzem funktioniert hat. Über die oben genannten naheliegenden Ursachen hinaus kann das passieren, wenn eine Domain zwischen Registraren wechselt und kurzzeitig in einen Zustand gerät, in dem ihre Nameserver-Delegierung unvollständig ist, wenn ein DNSSEC-Signierfehler einen validierenden Resolver dazu bringt, eine ansonsten gültige Zone so zu behandeln, als gäbe es sie nicht, oder – selten, aber wissenswert – wenn eine Domain von ihrem Registrar wegen eines Verstoßes gegen die Nutzungsbedingungen oder eines Missbrauchsfalls gesperrt wurde, was von außen identisch zu einer abgelaufenen Registrierung aussehen kann. Nichts davon behebt ein erneuter Versuch; in allen Fällen muss der Registrierungs- und Delegierungsstatus direkt geprüft werden, typischerweise über das Dashboard des Registrars oder eine WHOIS-Abfrage, nicht über etwas, was DNS selbst offenlegen kann.