DNS_PROBE_FINISHED_NXDOMAIN: het domein antwoordt niet meer

Wat de fout betekent

Voordat de browser een site opent, vraagt hij aan DNS welk adres er achter de naam zit. NXDOMAIN is het antwoord “deze naam bestaat niet”. Chrome toont het als DNS_PROBE_FINISHED_NXDOMAIN onder de kop “Deze site is niet bereikbaar”, Firefox zegt “Hmm. We kunnen die site niet vinden.” en Safari “Safari kan de server niet vinden”. Er is nog geen enkele verbinding geprobeerd: de browser heeft nooit een adres gekregen.

Goed nieuws: de webserver heeft er niets mee te maken. Het probleem zit in DNS, aan de kant van de bezoeker (typfout, oude cache, verkeerde resolver) of aan de kant van de eigenaar (het domein of zijn records zijn weg).

En ERR_NAME_NOT_RESOLVED?

ERR_NAME_NOT_RESOLVED is de naaste verwant: de browser heeft helemaal geen bruikbaar antwoord van DNS gekregen, omdat de resolver niet antwoordde, het netwerk geen verbinding had of de naam verkeerd was getypt. NXDOMAIN is daarentegen een duidelijk antwoord: DNS heeft geantwoord en gezegd dat de naam niet bestaat. De controles zijn dezelfde; bij ERR_NAME_NOT_RESOLVED kijk je eerst naar je eigen netwerk en de resolver, bij NXDOMAIN eerst naar het domein.

Veelvoorkomende oorzaken

Aan de kant van de bezoeker

1. Een typfout in het adres, of een link naar een domein dat niet meer bestaat.
2. Een DNS-cache (apparaat, browser, router) die een oud antwoord “bestaat niet” vasthoudt.
3. Een resolver zonder internetverbinding, een VPN of bedrijfsnetwerk dat het domein blokkeert, een gezinsfilter.
4. Een virusscanner of “webbescherming” die DNS onderschept.

Aan de kant van de eigenaar

5. Het domein is verlopen. De registrar haalt de nameservers weg en de naam houdt op te bestaan. De meest voorkomende oorzaak als de site gisteren nog werkte.
6. Het A- of AAAA-record ontbreekt. Na een verhuizing naar een nieuwe hostingprovider of DNS-provider is het record voor www of voor het domein zonder voorvoegsel nooit aangemaakt bij de nieuwe provider.
7. Nameservers gewisseld, zone leeg. Je hebt het domein naar een nieuwe DNS-provider gewezen zonder eerst de records te kopiëren.
8. Een subdomein dat nooit is ingesteld. shop.example.com geeft NXDOMAIN omdat er geen record voor shop bestaat, terwijl example.com gewoon werkt.
9. DNSSEC kapot. Een verkeerd DS-record bij de registrar laat validerende resolvers mislukken; de browser toont NXDOMAIN of een vergelijkbare fout.
10. De propagatie. Na een wissel van nameservers zien sommige resolvers nog de oude, inmiddels lege zone, tot de TTL verstrijkt: in het ergste geval 24 tot 48 uur.

Als je bezoeker bent

1. Controleer hoe je het adres hebt getypt en probeer het met en zonder www.
2. Leeg de DNS-cache: op Windows ipconfig /flushdns, op macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, op Linux sudo resolvectl flush-caches. Open in Chrome chrome://net-internals/#dns en klik op “Clear host cache”.
3. Herstart de router, of open de site op je telefoon zonder wifi. Werkt het daar wel, dan is de resolver van je netwerk de schuldige.
4. Stel in je netwerkinstellingen een openbare resolver in (1.1.1.1 of 9.9.9.9).
5. Verandert er niets, dan is het domein echt kapot en kan alleen de eigenaar het repareren.

Als het je eigen site is: eerst controleren

Open de Website down checker: die vertelt je of het domein vanaf een neutraal punt wordt gevonden. Zo nee, lees verder. Zo ja, dan ligt het aan de kant van de bezoeker: stuur hem de lijst hierboven.

Daarna op de opdrachtregel:

# wordt de naam gevonden, en wie antwoordt?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# rechtstreeks aan de autoritatieve nameserver vragen (omzeilt elke cache)
dig @ns1.jouw-dns-provider.com example.com A

# status van de registratie en vervaldatum
whois example.com | grep -iE 'expir|status'

# DNSSEC: een kapotte keten geeft SERVFAIL
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Een leeg antwoord van dig met status: NXDOMAIN in de volledige uitvoer betekent dat het record niet bestaat op de autoritatieve server. Toont whois clientHold, redemptionPeriod of pendingDelete, dan zit het probleem in de domeinregistratie, niet in de zone.

Oplossingen voor de eigenaar

1. Domein verlopen

Log in bij je registrar en verleng. Tijdens de respijtperiode (meestal 30 dagen) komt het domein bij de meeste registrars binnen enkele minuten na de betaling terug; in de herstelfase daarna kost het een herstelvergoeding en duurt het langer. Zet automatisch verlengen aan en houd je betaalmethode actueel: een verlopen domein zet site, e-mail en subdomeinen in één klap uit.

2. Record ontbreekt

Maak het ontbrekende record aan bij je DNS-provider. Voor een website is dat meestal:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Gebruik het IP-adres van je webserver (hostname -I, of het adres dat je hostingprovider je gaf). Heeft de server een IPv6-adres, maak dan ook een AAAA aan; verwijder anders een verkeerd AAAA. De wijzigingen worden zichtbaar binnen de TTL van het record, meestal 5 minuten tot een uur.

3. Lege zone na wissel van nameservers

Exporteer vóór een wissel van nameservers de zone bij de oude provider (dig example.com AXFR @oude-ns werkt zelden; de meeste providers hebben een exportknop) en importeer die bij de nieuwe. Heb je al gewisseld, maak de records dan opnieuw aan: A voor het domein zonder voorvoegsel en voor www, MX en TXT voor e-mail, plus je subdomeinen. De oude provider toont de lijst vaak nog.

4. DNSSEC

Geeft dig +dnssec SERVFAIL terwijl de gewone query aan de autoritatieve server werkt, dan past het DS-record bij de registrar niet bij de sleutels van de DNS-provider. Verwijder het DS-record bij de registrar, of zet daar het nieuwe DS-record neer dat je DNS-provider je geeft.

5. Op je eigen server

Niets in de webserver veroorzaakt een NXDOMAIN; er valt niets te herstarten. Controleer wel of de resolver van de server zelf werkt, want een server die geen namen kan vinden, loopt vast bij updates, e-mail en API-aanroepen:

resolvectl status | head -20
dig +short example.com @127.0.0.53

Ligt het bij je hostingprovider?

Beheert je hostingprovider ook DNS (de norm op shared hosting) en lijken de records in het klantenpaneel te kloppen, maar worden ze van buitenaf niet gevonden, stuur dan dit bericht:

Goedemorgen, mijn domein example.com wordt sinds ongeveer 11:00 (UTC) niet meer gevonden: resolvers antwoorden NXDOMAIN. De records in het klantenpaneel lijken te kloppen en het domein is verlengd. Kunt u de DNS-zone op uw nameservers controleren, en of het domein nog naar u is gedelegeerd?

Zo gebeurt het niet opnieuw

Een NXDOMAIN op je eigen domein is bijna altijd een vergeten verlenging of een niet-gekopieerd record. Een DNS-monitor vergelijkt je records met de verwachte waarden en waarschuwt je zodra er een verandert; een controle van buitenaf vangt het moment op waarop de naam niet meer wordt gevonden. Allebei horen ze bij de website monitoring, gratis om te beginnen. Wordt het domein wel gevonden, maar blijft de site onbereikbaar? Volg dan website down: wat je doet in de eerste 15 minuten. Weigert de server de verbinding? Dat is een ander geval: ERR_CONNECTION_REFUSED.

Down? Wij fixen het. Staan de records op je eigen nameserver, dan zet de Deep Fix ze terug, per blok van 15 minuten, 24 uur per dag, ook in het weekend; de schatting is de bovengrens. De Quick Fix herstart tegen een vaste prijs een gestopte dienst op je eigen server of op shared hosting met SSH-toegang.