NXDOMAIN explicado: por que um domínio não resolve

NXDOMAIN (“non-existent domain”, domínio inexistente) é uma das respostas mais claras que o DNS pode dar. Ela não significa que um servidor deu timeout nem que algo está mal configurado mais acima. Significa que um servidor de nomes autoritativo foi consultado sobre um nome e declarou, sem rodeios, que esse nome não existe na sua zona. É uma resposta negativa definitiva, e não um erro no sentido usual.

As causas reais mais comuns

• Um erro de digitação no domínio: exmaple.com em vez de example.com é um nome diferente (e provavelmente não registrado) para o DNS.
• O registro do domínio expirou e nunca foi renovado.
• O subdomínio específico consultado nunca foi criado: o domínio raiz resolve normalmente, mas api.example.com nunca recebeu um registro próprio.
• Um registro foi excluído ou renomeado durante uma migração e nada foi colocado no lugar.

Por que tentar de novo não ajuda

Um timeout de DNS ou um SERVFAIL pode ser transitório (um servidor ficou sobrecarregado por um instante, um caminho de rede teve um problema momentâneo), e tentar de novo logo depois costuma ser exatamente a atitude certa. O NXDOMAIN é diferente: é uma declaração direta e autoritativa de que o nome não está registrado. Repetir a mesma consulta produzirá a mesma resposta, porque nada no registro subjacente mudou. É exatamente por isso que uma ferramenta de consulta bem construída trata o NXDOMAIN como uma falha permanente e falha rápido, em vez de gastar tentativas e tempo em uma consulta que nunca teria sucesso.

Uma sutileza que vale conhecer: o NXDOMAIN se aplica ao nome inteiro, e não a um tipo de registro específico. Se um domínio tem um registro A, mas não tem registro AAAA, a consulta AAAA não retorna NXDOMAIN: ela retorna uma resposta bem-sucedida com um conjunto de respostas vazio (às vezes chamada de NODATA). O NXDOMAIN significa especificamente que o próprio nome não tem registros de nenhum tipo.

Quando um NXDOMAIN não é realmente um NXDOMAIN

Alguns provedores de internet e redes de Wi-Fi públicas interceptam discretamente respostas NXDOMAIN genuínas e as substituem pelas suas próprias, redirecionando um domínio digitado errado ou não registrado para uma página de busca cheia de anúncios, em vez de retornar honestamente “isto não existe”. É uma prática real, não um mito, e é exatamente o tipo de coisa que mina a confiança em uma resposta de DNS: um resolvedor que faz isso não está mentindo sobre um domínio que existe, mas está escondendo o verdadeiro NXDOMAIN atrás de um resultado fabricado e monetizado. Consultar diretamente um resolvedor público conhecido e neutro, sem nenhum motivo comercial para redirecionar um beco sem saída, contorna isso por completo e traz a resposta real do servidor autoritativo.

NXDOMAIN em um domínio que você tem certeza de que está registrado

A versão mais desorientadora disso é ver NXDOMAIN em um domínio que você sabe que está registrado e funcionava até pouco tempo atrás. Além das causas diretas acima, isso pode acontecer quando um domínio passa de um registrador para outro e entra brevemente em um estado em que a delegação dos servidores de nomes está incompleta, quando um erro de assinatura DNSSEC faz um resolvedor validador tratar uma zona, de resto válida, como se ela não existisse ou, raramente, mas vale saber, quando um domínio foi suspenso pelo registrador por violação dos termos de serviço ou por abuso, o que, visto de fora, pode ser idêntico a um registro expirado. Nenhuma dessas situações se resolve com uma nova tentativa; todas exigem verificar diretamente o status de registro e de delegação, normalmente pelo painel do próprio registrador ou por uma consulta WHOIS, e não por algo que o próprio DNS possa revelar.