Cómo solucionar los errores NXDOMAIN y SERVFAIL

Qué significan realmente estos errores

NXDOMAIN — NXDOMAIN (Non-Existent Domain) es una respuesta autoritativa: el servidor de nombres responsable de la zona ha contestado que el nombre no existe. La consulta funcionó; sencillamente no hay tal registro.

SERVFAIL — SERVFAIL es distinto: el resolver no ha podido completar la consulta. Algo está roto entre tu resolver y los servidores de nombres autoritativos: servidores inalcanzables, una delegación coja o una validación DNSSEC fallida.

$ dig missing.example.com
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21744

$ dig broken-dnssec.example.net
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31921

Causas habituales de NXDOMAIN

• una errata en el dominio o el nombre de host (www frente a sin www, falta el registro del subdominio)
• el registro nunca se creó; por ejemplo, falta un CNAME para un subdominio
• el dominio ha caducado y se ha eliminado de la zona del TLD
• el cambio aún no se ha propagado y hay una respuesta negativa antigua en caché

Causas habituales de SERVFAIL

• todos los servidores de nombres autoritativos están caídos o son inalcanzables
• delegación coja: los registros NS apuntan a servidores que no alojan la zona
• fallo de validación DNSSEC: firmas caducadas o que no coinciden (muy habitual tras una migración)
• la zona se trasladó a un proveedor nuevo pero en el registrador siguen los registros NS antiguos

Diagnostícalo en tres pasos

1. Comprueba qué dicen los servidores autoritativos

Haz una consulta con el resolver «Authoritative NS». Si la respuesta autoritativa es correcta pero los resolvers públicos no coinciden, el problema es de caché o propagación, no una zona rota. → DNS Lookup

2. Compara resolvers de todo el mundo

Una comprobación de propagación en 18 resolvers te dice al instante si el problema es global (zona rota) o parcial (cachés que aún están expirando). → DNS Propagation

3. Verifica la cadena de delegación y DNSSEC

DNS Trace recorre desde los servidores raíz, pasando por el TLD, hasta tu zona y muestra dónde se rompe la cadena. Si tu dominio está firmado, una comprobación DNSSEC detectará firmas caducadas o ausentes: la causa silenciosa clásica de SERVFAIL. → DNS Trace · → DNSSEC Check

Soluciones típicas

• Dominio caducado → renuévalo en el registrador; cuenta con hasta 24-48 h para que se actualice la zona del TLD
• Registro que falta → añádelo en tu proveedor DNS y mantén el TTL entre 300 y 3600 s
• Delegación coja → haz que los registros NS del registrador coincidan con los servidores que alojan realmente la zona
• Fallo de DNSSEC → vuelve a firmar la zona o actualiza el registro DS en el registrador; si has migrado de proveedor, elimina antes el DS obsoleto
• Caché negativa obsoleta → espera a que venza el TTL mínimo del SOA, o consulta otro resolver para confirmar que la corrección ya está activa