DNS_PROBE_FINISHED_NXDOMAIN: o domínio não responde mais

O que o erro significa

Antes de abrir um site, o navegador pergunta ao DNS qual endereço se esconde atrás do nome. NXDOMAIN é a resposta “esse nome não existe”. O Chrome mostra DNS_PROBE_FINISHED_NXDOMAIN embaixo da frase “Não é possível acessar esse site”, o Firefox diz “Hmm. Não conseguimos encontrar esse site.” e o Safari, “O Safari não consegue encontrar o servidor”. Nenhuma conexão chegou a ser tentada: o navegador nunca recebeu um endereço.

Uma boa notícia: o servidor web não tem nada a ver com isso. O problema está no DNS, do lado do visitante (erro de digitação, cache antigo, resolvedor errado) ou do lado do dono (o domínio ou os registros dele sumiram).

E o ERR_NAME_NOT_RESOLVED?

ERR_NAME_NOT_RESOLVED é o primo próximo: o navegador não obteve nenhuma resposta útil do DNS (resolvedor mudo, rede sem conexão). NXDOMAIN é uma resposta precisa: o DNS disse que o nome não existe. As verificações são as mesmas; o guia ERR_NAME_NOT_RESOLVED trata do outro caso.

Causas frequentes

Do lado do visitante

1. Um erro no endereço digitado, ou um link para um domínio que não existe mais.
2. Um cache DNS (aparelho, navegador, roteador) que guarda uma resposta antiga de “não existe”.
3. Um resolvedor sem acesso à internet, uma VPN ou uma rede corporativa que bloqueia o domínio, um filtro de controle parental.
4. Um antivírus ou uma “proteção web” que intercepta o DNS.

Do lado do dono

5. O domínio expirou. O registrador retira os nameservers e o nome deixa de existir. É a causa mais frequente quando ontem o site funcionava.
6. Falta o registro A ou AAAA. Depois de uma mudança de hospedagem ou de provedor de DNS, o registro de www ou do domínio sem prefixo nunca foi criado no novo provedor.
7. Nameservers trocados, zona vazia. Você apontou o domínio para o Cloudflare ou para uma nova hospedagem sem antes copiar os registros.
8. Um subdomínio que nunca foi criado. loja.example.com devolve NXDOMAIN porque não existe registro para loja, enquanto example.com funciona.
9. DNSSEC quebrado. Um registro DS errado no registrador, depois de uma troca de provedor, faz os resolvedores que validam (hoje a maioria) falharem; o navegador mostra NXDOMAIN ou um erro parecido.
10. A propagação. Você acabou de trocar os nameservers; alguns resolvedores ainda veem a zona antiga, agora vazia, até o TTL vencer, no pior caso de 24 a 48 horas.

Se você é visitante

1. Confira como digitou o endereço e teste com e sem www.
2. Limpe o cache DNS: no Windows ipconfig /flushdns, no macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, no Linux sudo resolvectl flush-caches. No Chrome, abra chrome://net-internals/#dns e clique em “Clear host cache”.
3. Reinicie o roteador, ou abra o site pelo celular sem Wi-Fi. Se ali funciona, o culpado é o resolvedor da sua rede.
4. Configure um resolvedor público nas configurações de rede (1.1.1.1 ou 9.9.9.9).
5. Se nada muda, o domínio está mesmo quebrado e só o dono pode consertar.

Se o site é seu: verifique primeiro

Abra o website down checker: ele diz se o domínio é resolvido a partir de um ponto neutro. Se não, continue lendo. Se sim, o problema está do lado do visitante: mande para ele a lista acima.

Depois, na linha de comando:

# o nome é resolvido, e quem responde?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# perguntar ao nameserver autoritativo (pula qualquer cache)
dig @ns1.seu-provedor-dns.com example.com A

# estado do registro e data de vencimento
whois example.com | grep -iE 'expir|status'

# DNSSEC: uma cadeia quebrada devolve SERVFAIL
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Uma resposta vazia do dig com status: NXDOMAIN na saída completa significa que o registro não existe no servidor autoritativo. Se o whois mostra clientHold, redemptionPeriod ou pendingDelete, o problema está no registro do domínio, não na zona.

Soluções para o dono

1. Domínio expirado

Entre no painel do registrador e renove. Durante o período de carência (em geral 30 dias), a maioria dos registradores devolve o domínio minutos depois do pagamento; na fase de resgate que vem em seguida, custa uma taxa de recuperação e leva mais tempo. Ative a renovação automática e mantenha o meio de pagamento em dia: um domínio expirado apaga de uma vez site, e-mail e subdomínios.

2. Registro faltando

Crie o registro que falta no seu provedor de DNS. Para um site, em geral é:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Use o IP do seu servidor web (hostname -I, ou o endereço que a hospedagem lhe deu). Se o servidor tem endereço IPv6, crie também um AAAA; caso contrário, remova um AAAA errado. As alterações ficam visíveis dentro do tempo do TTL do registro, em geral de 5 minutos a uma hora.

3. Zona vazia depois da troca de nameservers

Antes de trocar os nameservers, exporte a zona do provedor antigo (dig example.com AXFR @ns-antigo raramente funciona; quase todo provedor tem um botão de exportar) e importe no novo. Se já trocou, recrie os registros no novo provedor: A para o domínio sem prefixo e para www, MX e TXT para o e-mail, mais os subdomínios que você usa. O provedor antigo muitas vezes ainda mostra a lista.

4. DNSSEC

Se dig +dnssec devolve SERVFAIL enquanto a consulta simples ao servidor autoritativo funciona, o registro DS no registrador não corresponde às chaves do provedor de DNS. Remova o DNSSEC no registrador (apague o registro DS) até que os dois lados estejam configurados juntos, ou copie para o registrador o novo DS que o provedor de DNS fornece.

5. No seu servidor

Nada no servidor web provoca um NXDOMAIN; não há o que reiniciar. Confira mesmo assim se o próprio servidor resolve nomes, porque um servidor que não resolve nomes falha nas atualizações, no e-mail e nas chamadas de API:

resolvectl status | head -20
dig +short example.com @127.0.0.53

Se o problema está na sua hospedagem

Se a sua hospedagem também cuida do DNS (o normal em uma hospedagem compartilhada) e os registros no painel do cliente parecem corretos, mas de fora não são resolvidos, envie esta mensagem:

Prezados, meu domínio example.com não está mais sendo resolvido desde aproximadamente 11h (UTC): os resolvedores respondem NXDOMAIN. Os registros no painel do cliente parecem corretos e o domínio está registrado até 2027. Poderiam verificar a zona DNS nos seus nameservers e se o domínio ainda está delegado a vocês?

Para não acontecer de novo

Um NXDOMAIN no próprio domínio é quase sempre uma renovação esquecida ou um registro não copiado. Um monitor de DNS compara seus registros com os valores esperados e avisa assim que um deles muda; uma verificação de fora captura o momento em que o nome deixa de ser resolvido. Os dois fazem parte do monitoramento de sites, grátis para os primeiros 50 monitores. O domínio é resolvido, mas o site continua inacessível? Siga o guia site fora do ar; se o servidor recusa a conexão, é um ERR_CONNECTION_REFUSED.

Fora do ar? Nós resolvemos. Se os registros estão no seu próprio nameserver, o Deep Fix os restaura, em blocos de 15 minutos, 24 horas por dia, inclusive nos fins de semana; a estimativa é o valor máximo. O Quick Fix reinicia a preço fixo um serviço parado.