Comment corriger les erreurs NXDOMAIN et SERVFAIL

Ce que signifient réellement ces erreurs

NXDOMAIN — NXDOMAIN (Non-Existent Domain) est une réponse faisant autorité : le serveur de noms responsable de la zone a indiqué que le nom n'existe pas. La requête a fonctionné — il n'y a simplement aucun enregistrement de ce type.

SERVFAIL — SERVFAIL, c'est différent : le résolveur n'a pas pu terminer la requête. Quelque chose est cassé entre votre résolveur et les serveurs de noms faisant autorité — serveurs injoignables, délégation boiteuse ou échec de validation DNSSEC.

$ dig missing.example.com
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21744

$ dig broken-dnssec.example.net
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31921

Causes fréquentes de NXDOMAIN

• une faute de frappe dans le domaine ou le nom d'hôte (www ou sans www, enregistrement de sous-domaine manquant)
• l'enregistrement n'a jamais été créé — par exemple, il manque un CNAME pour un sous-domaine
• le domaine a expiré et a été retiré de la zone du TLD
• la modification ne s'est pas encore propagée et une ancienne réponse négative est en cache

Causes fréquentes de SERVFAIL

• tous les serveurs de noms faisant autorité sont hors service ou injoignables
• délégation boiteuse — les enregistrements NS pointent vers des serveurs qui n'hébergent pas la zone
• échec de validation DNSSEC — signatures expirées ou non concordantes (très fréquent après une migration)
• la zone a été transférée chez un nouveau fournisseur mais les anciens enregistrements NS subsistent chez le bureau d'enregistrement

Diagnostiquer en trois étapes

1. Vérifiez ce que disent les serveurs faisant autorité

Lancez une recherche avec le résolveur réglé sur « Authoritative NS ». Si la réponse faisant autorité est correcte mais que les résolveurs publics divergent, il s'agit de cache ou de propagation, pas d'une zone cassée. → DNS Lookup

2. Comparez les résolveurs dans le monde

Une vérification de propagation sur 18 résolveurs indique immédiatement si le problème est global (zone cassée) ou partiel (caches encore en cours d'expiration). → DNS Propagation

3. Vérifiez la chaîne de délégation et DNSSEC

DNS Trace part des serveurs racine, passe par le TLD et descend jusqu'à votre zone en montrant où la chaîne se rompt. Si votre domaine est signé, une vérification DNSSEC repérera les signatures expirées ou absentes — la cause silencieuse classique d'un SERVFAIL. → DNS Trace · → DNSSEC Check

Correctifs habituels

• Domaine expiré → renouvelez-le chez le bureau d'enregistrement ; comptez jusqu'à 24–48 h pour la mise à jour de la zone du TLD
• Enregistrement manquant → ajoutez-le chez votre fournisseur DNS et gardez un TTL de 300 à 3600 s
• Délégation boiteuse → faites correspondre les enregistrements NS du bureau d'enregistrement aux serveurs qui hébergent réellement la zone
• Échec DNSSEC → re-signez la zone ou mettez à jour l'enregistrement DS chez le bureau d'enregistrement ; après un changement de fournisseur, supprimez d'abord l'ancien DS
• Cache négatif périmé → attendez l'expiration du TTL minimum du SOA, ou interrogez un autre résolveur pour confirmer que le correctif est actif