NXDOMAIN spiegato: perché un dominio non si risolve

NXDOMAIN («non-existent domain», dominio inesistente) è una delle risposte più chiare che il DNS possa darti. Non significa che un server è andato in timeout né che qualcosa è configurato male a monte. Significa che a un nameserver autorevole è stato chiesto di un nome e ha dichiarato senza giri di parole che nessun nome di questo tipo esiste nella sua zona. È una risposta negativa definitiva, non un errore nel senso usuale.

Le cause reali più comuni

• Un errore di battitura nel dominio: exmaple.com al posto di example.com è un nome diverso (e probabilmente non registrato) per quanto riguarda il DNS.
• La registrazione del dominio è scaduta e non è mai stata rinnovata.
• Il sottodominio interrogato non è mai stato creato: il dominio radice si risolve benissimo, ma api.example.com non ha mai avuto un proprio record.
• Un record è stato eliminato o rinominato durante una migrazione e nulla è stato messo al suo posto.

Perché riprovare non serve

Un timeout DNS o un SERVFAIL possono essere transitori (un server era brevemente sovraccarico, un percorso di rete ha avuto un problema momentaneo) e riprovare poco dopo è spesso proprio la mossa giusta. NXDOMAIN è diverso: è una dichiarazione diretta e autorevole che il nome non è registrato. Ripetere la stessa identica query produrrà la stessa identica risposta, perché nulla della registrazione sottostante è cambiato. È esattamente per questo che uno strumento di lookup ben costruito tratta NXDOMAIN come un fallimento permanente e fallisce subito, invece di bruciare tentativi e tempo su una query che non sarebbe mai andata a buon fine.

Una sottigliezza da conoscere: NXDOMAIN si applica all'intero nome, non a un tipo di record specifico. Se un dominio ha un record A ma nessun record AAAA, la query AAAA non restituisce NXDOMAIN: restituisce una risposta riuscita con un insieme di risposte vuoto (a volte indicato come NODATA). NXDOMAIN significa specificamente che il nome stesso non ha record di alcun tipo.

Quando un NXDOMAIN non è davvero un NXDOMAIN

Alcuni ISP e reti Wi-Fi pubbliche intercettano in silenzio le vere risposte NXDOMAIN e le sostituiscono con le proprie, reindirizzando un dominio scritto male o non registrato a una pagina di ricerca piena di pubblicità invece di restituire onestamente «questo non esiste». È una pratica reale, non un mito, ed è esattamente il genere di cosa che mina la fiducia in una risposta DNS: un resolver che lo fa non mente su un dominio che esiste, ma nasconde il vero NXDOMAIN dietro un risultato fabbricato e monetizzato. Interrogare direttamente un resolver pubblico noto e neutrale, privo di ragioni commerciali per reindirizzare un vicolo cieco, aggira del tutto il problema e ti dà la risposta reale del server autorevole.

NXDOMAIN su un dominio che sei sicuro sia registrato

La versione più disorientante è vedere NXDOMAIN per un dominio che sai essere registrato e che fino a poco fa funzionava. Oltre alle cause più semplici descritte sopra, può succedere quando un dominio passa da un registrar all'altro ed entra brevemente in uno stato in cui la delega dei nameserver è incompleta, quando un errore di firma DNSSEC porta un resolver con validazione a trattare una zona altrimenti valida come se non esistesse oppure, raramente ma vale la pena saperlo, quando un dominio è stato sospeso dal suo registrar per una violazione dei termini di servizio o per abuso, cosa che dall'esterno può presentarsi in modo identico a una registrazione scaduta. Nessuna di queste è una cosa che un nuovo tentativo possa risolvere: tutte richiedono di controllare direttamente lo stato della registrazione e della delega, di solito tramite la dashboard del registrar o un lookup WHOIS, e non attraverso qualcosa che il DNS stesso possa rivelare.