DNS_PROBE_FINISHED_NXDOMAIN: el dominio ya no responde

Qué significa el error

Antes de abrir un sitio, el navegador pregunta al DNS qué dirección hay detrás del nombre. NXDOMAIN es la respuesta « este nombre no existe ». Chrome lo muestra como DNS_PROBE_FINISHED_NXDOMAIN (« No se puede acceder a este sitio web »), Firefox dice « Hmm. Tenemos problemas para encontrar ese sitio. » y Safari « Safari no puede encontrar el servidor ». No se intentó ninguna conexión: el navegador nunca recibió una dirección.

Una buena noticia: el servidor web no tiene la culpa. El problema está en el DNS, del lado del visitante (error al escribir, caché vieja, resolvedor equivocado) o del lado del propietario (el dominio o sus registros desaparecieron).

Causas frecuentes

Del lado del visitante

1. Un error al escribir la dirección, o un enlace a un dominio que ya no existe.
2. Una caché DNS (dispositivo, navegador, router) que conserva una respuesta antigua de « no existe ».
3. Una VPN o una red de empresa que bloquea el dominio, un filtro parental, un antivirus.

Del lado del propietario

4. El dominio expiró. El registrador retira los servidores de nombres y el nombre deja de existir. Es la causa más frecuente cuando el sitio funcionaba ayer.
5. Falta el registro A o AAAA. Tras una mudanza, el registro de www o del dominio sin prefijo nunca se creó en el nuevo proveedor.
6. Servidores de nombres cambiados, zona vacía. Apuntaste el dominio a un nuevo proveedor sin copiar antes los registros.
7. DNSSEC roto. Un registro DS incorrecto en el registrador hace fallar a los resolvedores que validan; el navegador muestra NXDOMAIN o un error parecido.
8. La propagación. Tras un cambio de servidores de nombres, algunos resolvedores siguen viendo la zona antigua, ahora vacía, hasta que expira el TTL.

Si eres visitante

1. Revisa cómo escribiste la dirección y prueba con y sin www.
2. Vacía la caché DNS: en macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, en Linux sudo resolvectl flush-caches.
3. Abre el sitio desde tu teléfono sin wifi. Si ahí funciona, el culpable es el resolvedor de tu red.
4. Configura un resolvedor público en los ajustes de red (1.1.1.1 o 9.9.9.9).
5. Si nada funciona, el dominio está roto de verdad y solo el propietario puede corregirlo.

Si es tu sitio: comprobar primero

Abre el Website down checker: te dice si el dominio se resuelve desde un punto neutral. Si no, sigue leyendo. Si sí, el problema está en el visitante: envíale la lista de arriba.

Después, en la línea de comandos:

# ¿se resuelve el nombre, y quién responde?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# preguntar al servidor de nombres autoritativo (evita cualquier caché)
dig @ns1.tu-proveedor-dns.com example.com A

# estado del registro y fecha de expiración
whois example.com | grep -iE 'expir|status'

# DNSSEC: una cadena rota devuelve SERVFAIL
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Una respuesta vacía de dig con status: NXDOMAIN en la salida completa significa que el registro no existe en el servidor autoritativo. Si whois muestra clientHold, redemptionPeriod o pendingDelete, el problema está en el registro del dominio, no en la zona.

Soluciones para el propietario

1. Dominio expirado

Entra en tu registrador y renueva. Durante el periodo de gracia, el dominio vuelve poco después del pago; en la fase de redención que sigue cuesta una tasa de recuperación y tarda más. Activa la renovación automática y mantén al día el medio de pago: un dominio expirado corta de golpe el sitio, el correo y los subdominios.

2. Registro que falta

Crea el registro que falta en tu proveedor DNS. Para un sitio web suele ser:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Usa la IP de tu servidor web (hostname -I, o la dirección que te dio tu proveedor de hosting). Si el servidor tiene una dirección IPv6, crea también un AAAA; si no, elimina un AAAA incorrecto. Los cambios surten efecto dentro del plazo del TTL.

3. Zona vacía tras cambiar de servidores de nombres

Antes de cambiar de servidores de nombres, exporta la zona en el proveedor antiguo e impórtala en el nuevo. Si ya cambiaste, vuelve a crear los registros: A para el dominio sin prefijo y para www, MX y TXT para el correo, más tus subdominios.

4. DNSSEC

Si dig +dnssec devuelve SERVFAIL mientras la consulta simple al servidor autoritativo funciona, el registro DS en el registrador no coincide con las claves del proveedor DNS. Elimina el DS en el registrador, o copia ahí el nuevo DS que te entrega el proveedor.

5. En tu propio servidor

Nada en el servidor web provoca un NXDOMAIN; no hay nada que reiniciar. Comprueba de todos modos que el propio servidor resuelve nombres (dig +short example.com @127.0.0.53); si no, también fallan las actualizaciones y el correo.

Si el problema está en tu proveedor de hosting

Si tu proveedor de hosting gestiona también tu DNS (lo habitual en un hosting compartido) y los registros parecen correctos en el panel de cliente pero no se resuelven desde fuera, envía esto:

Hola, mi dominio example.com ya no se resuelve desde las 11:00 (UTC) aproximadamente (NXDOMAIN). Los registros en el panel de cliente parecen correctos y el dominio está renovado. ¿Pueden comprobar la zona DNS en los servidores de nombres y que el dominio sigue delegado a ellos?

Para que no vuelva a pasar

Un NXDOMAIN en tu propio dominio es casi siempre una renovación olvidada o un registro sin copiar. Un monitor DNS compara tus registros con los valores esperados y te avisa en cuanto uno cambia; una comprobación desde fuera capta el momento en que el nombre deja de resolverse. Las dos cosas forman parte del monitoring de sitios web, gratis para empezar. ¿El dominio se resuelve, pero el servidor rechaza la conexión? Es otro caso: ERR_CONNECTION_REFUSED.

¿Caído? Intervenimos. Si los registros están en tu propio servidor de nombres, la intervención a fondo los restablece, en bloques de 15 minutos, las 24 horas, todos los días; la intervención rápida reinicia a precio fijo un servicio detenido en tu servidor propio o en un hosting compartido con acceso SSH.