NXDOMAIN expliqué : pourquoi un domaine ne se résout pas

NXDOMAIN (« non-existent domain ») est l'une des réponses les plus claires que le DNS puisse vous donner. Il ne veut pas dire qu'un serveur a expiré ou que quelque chose est mal configuré en amont. Il signifie qu'un serveur de noms faisant autorité a été interrogé sur un nom et a déclaré sans ambiguïté qu'aucun nom de ce type n'existe dans sa zone. C'est une réponse négative définitive, pas une erreur au sens habituel.

Les causes réelles les plus courantes

• Une faute de frappe dans le domaine : exmaple.com au lieu de example.com est un nom différent (et probablement non enregistré) pour le DNS.
• L'enregistrement du domaine a expiré et n'a jamais été renouvelé.
• Le sous-domaine interrogé n'a jamais été créé : le domaine racine se résout très bien, mais api.example.com n'a jamais reçu son propre enregistrement.
• Un enregistrement a été supprimé ou renommé pendant une migration et rien n'a été mis à sa place.

Pourquoi réessayer ne sert à rien

Un timeout DNS ou un SERVFAIL peut être passager (un serveur brièvement surchargé, un chemin réseau momentanément défaillant), et réessayer un instant plus tard est souvent exactement le bon réflexe. NXDOMAIN est différent : c'est une déclaration directe et faisant autorité que le nom n'est pas enregistré. Réessayer la même requête produira la même réponse, car rien n'a changé dans l'enregistrement sous-jacent. C'est précisément pourquoi un outil de recherche bien conçu traite NXDOMAIN comme un échec définitif et échoue rapidement, au lieu de gaspiller des tentatives et du temps sur une requête qui n'allait jamais aboutir.

Une subtilité à connaître : NXDOMAIN s'applique au nom entier, pas à un type d'enregistrement précis. Si un domaine a un enregistrement A mais pas d'enregistrement AAAA, la requête AAAA ne renvoie pas NXDOMAIN : elle renvoie une réponse réussie avec un ensemble de réponses vide (parfois présentée comme NODATA). NXDOMAIN signifie précisément que le nom lui-même n'a aucun enregistrement, quel qu'en soit le type.

Quand un NXDOMAIN n'en est pas vraiment un

Certains FAI et réseaux Wi-Fi publics interceptent discrètement les vraies réponses NXDOMAIN pour y substituer les leurs : ils redirigent un domaine mal orthographié ou non enregistré vers une page de recherche pleine de publicités, au lieu de renvoyer honnêtement « cela n'existe pas ». C'est une pratique réelle, pas un mythe, et c'est exactement le genre de chose qui mine la confiance dans une réponse DNS : un résolveur qui agit ainsi ne ment pas à propos d'un domaine qui existe, mais il cache le vrai NXDOMAIN derrière un résultat fabriqué et monétisé. Interroger directement un résolveur public connu et neutre, sans intérêt commercial à rediriger une impasse, contourne entièrement le problème et vous donne la vraie réponse du serveur faisant autorité.

NXDOMAIN sur un domaine dont vous êtes sûr qu'il est enregistré

La version la plus déroutante consiste à voir NXDOMAIN pour un domaine que vous savez enregistré et qui fonctionnait récemment. Outre les causes évidentes ci-dessus, cela peut arriver lorsqu'un domaine passe d'un registraire à un autre et entre brièvement dans un état où sa délégation de serveurs de noms est incomplète, lorsqu'une erreur de signature DNSSEC amène un résolveur validant à traiter une zone par ailleurs valide comme si elle n'existait pas, ou, plus rarement mais c'est bon à savoir, lorsqu'un domaine a été suspendu par son registraire pour un problème de conditions d'utilisation ou d'abus, ce qui peut ressembler exactement à un enregistrement expiré vu de l'extérieur. Aucun de ces cas ne se règle en réessayant ; tous exigent de vérifier directement l'état de l'enregistrement et de la délégation, généralement via le tableau de bord du registraire ou une recherche WHOIS, plutôt que par quoi que ce soit que le DNS lui-même puisse révéler.