DNS_PROBE_FINISHED_NXDOMAIN: il dominio non risponde più

Cosa significa l’errore

Prima di aprire un sito, il browser chiede al DNS quale indirizzo si nasconde dietro il nome. NXDOMAIN è la risposta “questo nome non esiste”. Chrome lo mostra come DNS_PROBE_FINISHED_NXDOMAIN sotto la scritta “Impossibile raggiungere il sito”, Firefox dice “Hmm. Non riusciamo a trovare quel sito.” e Safari “Safari non riesce a trovare il server”. Nessuna connessione è stata nemmeno tentata: il browser non ha mai ricevuto un indirizzo.

Una buona notizia: il server web non c’entra. Il problema sta nel DNS, dal lato del visitatore (errore di battitura, cache vecchia, resolver sbagliato) o dal lato del proprietario (il dominio o i suoi record sono spariti).

E ERR_NAME_NOT_RESOLVED?

ERR_NAME_NOT_RESOLVED è il cugino stretto: il browser non è riuscito a ottenere nessuna risposta utile dal DNS, perché il resolver non ha risposto, la rete era senza connessione o il nome era scritto male. NXDOMAIN invece è una risposta precisa: il DNS ha risposto e ha detto che il nome non esiste. Le verifiche sono le stesse; con ERR_NAME_NOT_RESOLVED conviene guardare prima la propria rete e il resolver, con NXDOMAIN prima il dominio.

Cause frequenti

Dal lato del visitatore

1. Un errore nell’indirizzo digitato, o un link verso un dominio che non esiste più.
2. Una cache DNS (dispositivo, browser, router) che conserva una vecchia risposta “non esiste”.
3. Un resolver senza accesso a internet, una VPN o una rete aziendale che blocca il dominio, un filtro famiglia.
4. Un antivirus o una “protezione web” che intercetta il DNS.

Dal lato del proprietario

5. Il dominio è scaduto. Alla scadenza il registrar toglie i name server e da quel momento il nome smette di esistere. È la causa più frequente quando ieri il sito funzionava.
6. Manca il record A o AAAA. Dopo un trasloco a un nuovo hosting o a un nuovo provider DNS, il record di www o del dominio senza prefisso non è mai stato creato.
7. Name server cambiati, zona vuota. Hai puntato il dominio a Cloudflare o a un nuovo hosting senza prima copiare i record.
8. Un sottodominio mai configurato. shop.example.com risponde NXDOMAIN perché non esiste un record per shop, mentre example.com funziona.
9. DNSSEC rotto. Un record DS sbagliato presso il registrar dopo un cambio di provider fa fallire i resolver che validano (oggi quasi tutti); il browser mostra NXDOMAIN o un errore simile.
10. La propagazione. Hai appena cambiato name server e alcuni resolver vedono ancora la vecchia zona, ormai vuota. Dura fino alla scadenza del TTL, nel peggiore dei casi da 24 a 48 ore.

Se sei un visitatore

1. Controlla come hai scritto l’indirizzo e prova con e senza www.
2. Svuota la cache DNS: su Windows ipconfig /flushdns, su macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, su Linux sudo resolvectl flush-caches. In Chrome apri chrome://net-internals/#dns e fai clic su “Clear host cache”.
3. Riavvia il router, oppure apri il sito dal telefono senza Wi-Fi. Se lì funziona, il colpevole è il resolver della tua rete.
4. Imposta un resolver pubblico nelle impostazioni di rete (1.1.1.1 o 9.9.9.9).
5. Se non cambia nulla, il dominio è davvero rotto e può sistemarlo solo il proprietario.

Se è il tuo sito: verificare prima

Apri il Website down checker: ti dice se il dominio si risolve da un punto neutrale. Se no, continua a leggere. Se sì, il problema è dal lato del visitatore: mandagli la lista qui sopra.

Poi, dalla riga di comando:

# il nome si risolve, e chi risponde?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# chiedere al name server autoritativo (salta qualsiasi cache)
dig @ns1.tuo-provider-dns.com example.com A

# stato della registrazione e data di scadenza
whois example.com | grep -iE 'expir|status'

# DNSSEC: una catena rotta restituisce SERVFAIL
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Una risposta vuota di dig con status: NXDOMAIN nell’output completo significa che il record non esiste sul server autoritativo. Se whois mostra clientHold, redemptionPeriod o pendingDelete, il problema è nella registrazione del dominio, non nella zona.

Soluzioni per il proprietario

1. Dominio scaduto

Entra nel pannello del registrar e rinnova. Durante il periodo di tolleranza (di solito 30 giorni) quasi tutti i registrar ripristinano il dominio entro pochi minuti dal pagamento; nella fase di redenzione che segue costa una tassa di recupero e ci vuole più tempo. Attiva il rinnovo automatico e tieni aggiornato il metodo di pagamento: un dominio scaduto spegne di colpo sito, posta e sottodomini.

2. Record mancante

Crea il record mancante presso il tuo provider DNS. Per un sito web di solito è:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Usa l’IP del tuo server web (hostname -I, oppure l’indirizzo che ti ha dato il provider di hosting). Se il server ha un indirizzo IPv6, crea anche un AAAA; se non ce l’ha, elimina l’AAAA rotto. Le modifiche diventano visibili entro il TTL del record, di solito da 5 minuti a un’ora.

3. Zona vuota dopo il cambio di name server

Prima di cambiare name server, esporta la zona dal vecchio provider (dig example.com AXFR @vecchio-ns funziona di rado; quasi tutti i provider hanno un pulsante di esportazione) e importala nel nuovo. Se hai già cambiato, ricrea i record presso il nuovo provider: A per il dominio senza prefisso e per www, MX e TXT per la posta, più i sottodomini che usi. Spesso il vecchio provider ti mostra ancora la lista.

4. DNSSEC

Se dig +dnssec restituisce SERVFAIL mentre la query semplice al server autoritativo funziona, il record DS presso il registrar non corrisponde alle chiavi del provider DNS. Disattiva DNSSEC presso il registrar (elimina il record DS) finché le due parti non sono configurate insieme, oppure copia nel registrar il nuovo DS che ti fornisce il provider DNS.

5. Sul tuo server

Niente nel server web provoca un NXDOMAIN; non c’è nulla da riavviare. Controlla comunque che il resolver del server stesso funzioni: un server che non risolve i nomi fallisce aggiornamenti, posta e chiamate API.

resolvectl status | head -20
dig +short example.com @127.0.0.53

Se il problema è presso il tuo provider di hosting

Se il tuo provider di hosting gestisce anche il DNS (la norma su un hosting condiviso) e i record nel pannello cliente sembrano corretti ma dall’esterno non si risolvono, invia questo messaggio:

Buongiorno, il mio dominio example.com non si risolve più da circa le 11:00 (UTC): i resolver rispondono NXDOMAIN. I record nel pannello cliente sembrano corretti e il dominio è registrato fino al 2027. Potete verificare la zona DNS sui vostri name server e che il dominio sia ancora delegato a voi?

Perché non succeda di nuovo

Un NXDOMAIN sul proprio dominio è quasi sempre un rinnovo dimenticato o un record non copiato. Un monitor DNS confronta i tuoi record con i valori attesi e ti avvisa appena uno sparisce o cambia; un controllo dall’esterno coglie il momento in cui il nome smette di risolversi. Entrambi fanno parte del monitoraggio di siti web, gratis per i primi 50 monitor. Il dominio si risolve ma il sito resta irraggiungibile? Segui la guida sito non raggiungibile: cosa fare nei primi 15 minuti. Il server rifiuta la connessione? È un altro caso: ERR_CONNECTION_REFUSED.

Down? Interveniamo. Se i record stanno sul tuo name server, il Deep Fix li ripristina, a blocchi di 15 minuti, 24 ore su 24, anche nel fine settimana; la stima è il prezzo massimo. Il Quick Fix riavvia a prezzo fisso un servizio fermo sul tuo server o su un hosting condiviso con accesso SSH.