DNS_PROBE_FINISHED_NXDOMAIN: qué significa y cómo solucionarlo

Qué significa el error

NXDOMAIN es un código de respuesta DNS, abreviatura de dominio inexistente. Un resolutor lo devuelve después de recorrer la cadena desde la raíz hasta la zona que debería contener tu nombre de host y no encontrar nada allí. Chrome imprime DNS_PROBE_FINISHED_NXDOMAIN. Firefox dice que no puede conectar con el servidor. Safari dice que no encuentra el servidor. Los tres informan de la misma respuesta.

NXDOMAIN no es lo mismo que un fallo del resolutor, y la diferencia decide dónde tienes que mirar. Si tu resolutor es inalcanzable o agota el tiempo de espera, recibes un mensaje de "el servidor DNS no responde" en su lugar. Si la zona responde pero está rota, por ejemplo una cadena DNSSEC que no valida, normalmente recibes SERVFAIL. NXDOMAIN es una respuesta definitiva: el nombre no está publicado.

Una propiedad de NXDOMAIN importa más que ninguna otra al diagnosticar. Las respuestas negativas se guardan en caché. Según el RFC 2308, un resolutor almacena el resultado de "ese nombre no existe" durante el intervalo indicado en el registro SOA de la zona, normalmente entre 5 y 60 minutos. Un dominio que empezó a funcionar hace dos minutos puede seguir fallando en tu equipo, y por mucho que recargues no cambiará nada hasta que la entrada de caché caduque o la borres.

Por qué ocurre

• Una errata en el nombre de host. La causa más frecuente con diferencia, y la que todo el mundo comprueba en último lugar.
• El dominio no está registrado, o caducó. Un dominio caducado suele retirarse de la zona pocas horas después de que termine el periodo de gracia.
• No hay delegación de servidores de nombres. El dominio existe en el registrador pero no tiene registros NS que apunten a un proveedor de DNS, así que la zona padre no tiene a dónde remitir a un resolutor.
• El registro se borró o se renombró. Un registro A o CNAME que falta para www produce NXDOMAIN en www.example.com mientras el dominio a secas sigue funcionando.
• Un cambio que todavía no ha llegado a tu resolutor. Los registros nuevos tardan en aparecer en todas partes hasta el TTL del registro anterior.
• Una respuesta negativa en caché en tu dispositivo, en tu navegador o en el resolutor de tu proveedor de internet.
• Una entrada en el archivo hosts que apunta el nombre a un sitio que ya no existe, o una línea olvidada de una prueba antigua.
• Una VPN, un proxy o un software de filtrado que responde al DNS por su cuenta y bloquea el nombre o no consigue resolverlo.
• Un nombre de host que solo existe en una red privada a la que ahora mismo no estás conectado, como un dominio interno .local o corporativo.

Cómo solucionarlo

Vuelve a escribir la dirección primero y luego avanza hacia fuera, del navegador a la red. Prueba después de cada paso en lugar de hacerlos todos seguidos.

Navegador

1. Abre la misma URL en una ventana privada. Si allí carga, hay una extensión o una cookie de por medio, no el DNS.
2. Vacía la caché del resolutor propio de Chrome en chrome://net-internals/#dns y después libera los sockets en chrome://net-internals/#sockets. Chrome mantiene una caché aparte de la del sistema operativo, así que vaciar solo la del sistema a menudo no cambia nada.

Windows

1. Vacía la caché del resolutor: ipconfig /flushdns
2. Renueva la concesión de red, que también recoge los servidores DNS que entrega el DHCP:

   ipconfig /release
   ipconfig /renew

3. Reinicia el servicio de caché si el vaciado no se mantiene:

   net stop dnscache
   net start dnscache

4. Revisa C:\Windows\System32\drivers\etc\hosts por si hay una línea con el dominio y bórrala si está obsoleta.
5. Configura un resolutor público: netsh interface ipv4 set dnsservers name="Wi-Fi" static 1.1.1.1 primary
6. Restablece la pila de red como último recurso y luego reinicia: netsh winsock reset

macOS

1. Vacía la caché: sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
2. Mira qué servidores están en uso: scutil --dns | grep nameserver
3. Apunta la interfaz a un resolutor público: sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1
4. Inspecciona /etc/hosts y elimina cualquier línea con el dominio.

Linux

1. Con systemd-resolved: sudo resolvectl flush-caches y después confirma los servidores en uso con resolvectl status.
2. Con dnsmasq: sudo systemctl restart dnsmasq. Con nscd: sudo systemctl restart nscd.
3. Lee /etc/resolv.conf para ver a qué resolutor estás consultando, y /etc/hosts por si hay una anulación obsoleta.
4. Con NetworkManager, cambia el resolutor en la propia conexión:

   nmcli con mod "Wired connection 1" ipv4.dns "1.1.1.1 1.0.0.1"
   nmcli con up "Wired connection 1"

Router

1. Apaga y enciende el router. La mayoría de los routers domésticos ejecutan un pequeño resolutor de reenvío con su propia caché, y un reinicio la limpia.
2. En la página de administración del router, mira los servidores DNS de la WAN o del DHCP. Si apuntan a un servidor interno antiguo o a un servicio de filtrado, cámbialos.
3. Prueba con un teléfono usando datos móviles en lugar de la Wi-Fi. Si allí el nombre se resuelve, el fallo está dentro de tu red.

Si el dominio es tuyo

Un NXDOMAIN en tu propio sitio es un problema de publicación, y solo puede venir de unos pocos sitios. Revisa primero el estado del registro y la fecha de caducidad. Después confirma la delegación, que es el paso que la gente se salta:

dig NS example.com +short
dig example.com +trace

Una respuesta NS vacía significa que la zona padre no tiene delegación, así que ningún resolutor puede llegar a tu proveedor de DNS por muchos registros que hayas creado allí. La salida de +trace muestra la cadena de referencias y el paso exacto donde se detiene. Si la delegación está bien, consulta directamente al servidor de nombres de tu proveedor para confirmar que el registro existe en la zona que estás editando:

dig @ns1.example-dns.net www.example.com A

Cuando añadas el registro que falta, la respuesta negativa antigua seguirá en caché en otros sitios tanto tiempo como permita el mínimo del SOA, así que dale ese margen antes de concluir que la solución no funcionó.

Verifícalo desde fuera

Todas las soluciones anteriores cambian tu propio equipo. Ninguna te dice si el nombre se resuelve para los demás, y eso es lo primero que quieres saber. Lanza la consulta contra dos resolutores públicos y compara:

dig example.com +short
dig @1.1.1.1 example.com +short
dig @8.8.8.8 example.com +short

nslookup example.com 8.8.8.8

Si tu resolutor por defecto no devuelve nada y 1.1.1.1 devuelve una dirección, el registro existe y tu resolutor está guardando una respuesta negativa obsoleta o filtrando el nombre. Si ningún resolutor devuelve nada, el registro falta de verdad.

Dos resolutores siguen cubriendo un solo punto de vista, y las respuestas DNS varían por región más a menudo de lo que la gente supone. Ejecuta la verificación de consulta DNS para resolver el nombre desde puntos de verificación en varios países a la vez y leer qué devolvió cada uno. Un resultado dividido, con unas ubicaciones respondiendo y otras no, apunta a un cambio que todavía se está propagando o a un servidor de nombres inalcanzable desde parte de internet. Esa lectura a lo largo del tiempo es la propagación DNS, que tiene su propia guía sobre cómo comprobar la propagación DNS.

Detectar un nombre que deja de resolverse

Un registro que desaparece no deja rastro en tu lado. Nada lo registra, porque no llega ninguna petición, y la única señal es una gráfica de tráfico que se desploma. La solución en todos los casos es una consulta que se ejecute de forma programada desde algún sitio que no sea tu oficina. HostTracker monitorea sitios web desde 2004 y hoy ejecuta verificaciones desde más de 300 puntos de verificación en 158 ciudades, con alertas por correo electrónico, SMS, llamada de voz, Slack, Telegram y otros canales cuando un nombre deja de resolverse o empieza a responder con la dirección equivocada. El resto de guías de esta sección están en el grupo de soluciones, y las dos más cercanas a esta son el servidor DNS no responde, para cuando el resolutor no contesta en absoluto, y cómo arreglar una consulta DNS lenta, para cuando contesta pero tarda demasiado.