DNS_PROBE_FINISHED_NXDOMAIN signifie que le DNS a répondu « ce nom de domaine n'existe pas » quand le navigateur a cherché votre site. Si l'erreur touche tous vos visiteurs, la cause est presque toujours de votre côté : domaine expiré ou suspendu, serveurs de noms erronés, zone DNS supprimée ou enregistrement manquant pour www. Une commande dig suffit à savoir lequel. Ce guide s'adresse au propriétaire du site, pas seulement au visiteur.
Vous êtes visiteur : trois vérifications rapides
- Vérifiez l'orthographe de l'adresse, puis videz le cache DNS de Chrome en ouvrant
chrome://net-internals/#dns et en cliquant sur « Clear host cache ».
- Testez depuis un autre réseau, par exemple le partage de connexion de votre téléphone en 4G ou 5G.
- Si le site ne marche nulle part, le problème vient du site. Prévenez son propriétaire : la suite de cet article est pour lui.
Ce que veut dire NXDOMAIN, techniquement
Chaque réponse DNS porte un code de retour. Le code 3, défini dans la RFC 1035 et appelé NXDOMAIN, indique que le nom demandé n'existe pas. Chrome affiche ce cas avec le message « Ce site est inaccessible » et le code DNS_PROBE_FINISHED_NXDOMAIN.
Ne confondez pas avec une réponse vide. Si votre-domaine.fr existe mais n'a pas d'enregistrement A, le serveur répond NOERROR sans donnée : le nom existe, il n'a juste pas d'adresse. NXDOMAIN est plus radical. Le nom lui-même est absent de la zone, ou la zone n'est plus publiée.
Autre point utile : les résolveurs gardent en cache les réponses NXDOMAIN, selon les règles de la RFC 2308. La durée de ce cache négatif dépend de l'enregistrement SOA de votre zone. Une fois le problème réparé, certains visiteurs peuvent donc voir l'erreur pendant encore quelques minutes, voire quelques heures.
Diagnostic en quatre commandes
1. La réponse actuelle
dig votre-domaine.fr A
Regardez la ligne status: dans l'en-tête. NOERROR avec une IP : le DNS fonctionne, le problème est ailleurs ou déjà résolu. NXDOMAIN : continuez. SERVFAIL : voir la section DNSSEC plus bas.
2. Le même test sur www
dig www.votre-domaine.fr A
Si le domaine nu répond et www renvoie NXDOMAIN, il manque simplement l'enregistrement pour www.
3. Ce que publie le registre
dig NS votre-domaine.fr @d.nic.fr +norecurse
dig NS exemple.com @a.gtld-servers.net +norecurse
Le serveur du registre doit renvoyer vos serveurs de noms dans la section AUTHORITY. S'il renvoie lui-même NXDOMAIN, le domaine n'est plus délégué : expiré, suspendu ou supprimé.
4. Le chemin complet
dig +trace www.votre-domaine.fr
dig +trace part de la racine, passe par le registre, puis par vos serveurs de noms. La dernière étape qui répond montre où la chaîne se casse. Sans terminal, notre outil DNS lookup donne les mêmes informations.
Les causes côté propriétaire
Le domaine a expiré ou est suspendu
À l'expiration, le registrar suspend souvent le domaine. Le statut EPP clientHold (posé par le registrar) ou serverHold (posé par le registre) demande de retirer le domaine du DNS : il ne se résout plus. C'est la cause la plus grave, car le délai pour récupérer le domaine court déjà.
Vérifiez la date d'expiration et les statuts avec notre outil WHOIS. Pour un .fr, l'AFNIC prévoit une période de rédemption de 30 jours pendant laquelle seul votre registrar peut restaurer le nom. Le détail par extension est dans notre article sur ce qui se passe après la date d'expiration.
Des serveurs de noms erronés après une migration
Vous avez changé d'hébergeur DNS et modifié les NS chez le registrar, mais la zone n'existe pas, ou pas encore, chez le nouveau fournisseur. Les nouveaux serveurs ne connaissent pas le domaine. Selon le fournisseur, ils répondent NXDOMAIN, refusent la requête (REFUSED) ou le résolveur finit en SERVFAIL. Autre variante : une faute de frappe dans un nom de serveur.
Comparez la liste des NS publiée par le registre (commande 3) avec celle indiquée par votre fournisseur DNS. Puis interrogez directement l'un des nouveaux serveurs :
dig votre-domaine.fr A @ns1.nouveau-fournisseur.example
Pour une migration propre, voir notre guide pour migrer ses DNS d'OVH vers Cloudflare sans coupure.
La zone DNS a été supprimée
Une résiliation d'hébergement, un nettoyage de compte ou une fermeture de compte Cloudflare peuvent supprimer la zone alors que les NS du registre pointent toujours vers ce fournisseur. Le domaine est valide, délégué, mais personne ne répond pour lui. Recréez la zone chez le fournisseur désigné par les NS, ou changez les NS vers un fournisseur qui l'héberge.
L'enregistrement www manque
Cas classique après une refonte ou un changement d'hébergeur : seul le domaine nu a été configuré. Ajoutez l'enregistrement manquant :
www.votre-domaine.fr. 3600 IN CNAME votre-domaine.fr.
Ou un enregistrement A vers la même IP que le domaine nu. Le CNAME suit automatiquement les changements d'IP du domaine nu.
La propagation et le cache négatif
Vous venez de créer l'enregistrement ou de réactiver le domaine, et certains visiteurs voient encore l'erreur. Les résolveurs qui avaient reçu un NXDOMAIN le gardent en cache pour la durée négative de votre SOA. Ce cas se règle tout seul. Pour l'accélérer la prochaine fois, créez vos enregistrements avant d'annoncer une nouvelle adresse.
DNSSEC cassé : SERVFAIL, pas NXDOMAIN
Un domaine signé avec DNSSEC dont l'enregistrement DS au registre ne correspond plus aux clés de la zone échoue à la validation. Les résolveurs qui valident renvoient alors SERVFAIL, une erreur de serveur, et non NXDOMAIN. Le message du navigateur peut différer. Ce cas survient souvent après un changement d'hébergeur DNS sans retrait préalable de l'ancien DS. Pour le confirmer :
dig votre-domaine.fr A +dnssec
dig votre-domaine.fr A +cd
Si la première commande renvoie SERVFAIL et que la seconde, qui désactive la validation avec +cd, renvoie une IP, le problème vient de DNSSEC. Mettez à jour ou retirez le DS chez votre registrar. Notre guide DNSSEC par registrar indique où le faire.
Tableau récapitulatif : symptôme, cause, vérification
| Symptôme | Cause probable | Vérification |
|---|
| NXDOMAIN partout, y compris sur le serveur du registre | Domaine expiré, suspendu ou supprimé | WHOIS : date d'expiration, statut clientHold ou serverHold |
| Le registre délègue, vos NS renvoient NXDOMAIN, REFUSED ou ne répondent pas | Zone absente chez le fournisseur DNS | dig votre-domaine.fr @ns1… sur chaque NS |
| NS du registre différents de ceux du fournisseur | Migration incomplète ou faute de frappe | dig NS … @d.nic.fr +norecurse |
Domaine nu OK, www en NXDOMAIN | Enregistrement www manquant | dig www.votre-domaine.fr A |
| Erreur chez certains visiteurs seulement, après correction | Cache négatif des résolveurs | Comparer @1.1.1.1 et @8.8.8.8, attendre la durée négative du SOA |
SERVFAIL, mais IP visible avec +cd | DNSSEC cassé (DS obsolète) | dig +dnssec puis dig +cd |
Éviter que ça recommence
- Activez le renouvellement automatique et gardez un moyen de paiement valide chez le registrar.
- Avant une migration DNS, créez et vérifiez la zone chez le nouveau fournisseur, puis changez les NS.
- Avant de quitter un hébergeur DNS, retirez le DS si le domaine est signé.
- Surveillez les changements de NS et d'enregistrements : une modification non prévue se repère avant que les visiteurs ne la voient.
Domains Defender vérifie vos enregistrements DNS, vous alerte quand l'un d'eux change ou disparaît, et vous prévient 30, 7 et 1 jour avant l'expiration de vos domaines. Il surveille aussi l'état de la configuration DNSSEC. L'offre gratuite couvre un domaine ; un audit gratuit permet de vérifier votre configuration actuelle.
Questions fréquentes
DNS_PROBE_FINISHED_NXDOMAIN, c'est un problème de mon ordinateur ou du site ?
Testez depuis un autre réseau. Si le site répond ailleurs, le problème vient de votre poste ou de votre box : videz le cache DNS. S'il échoue partout, la configuration DNS du site est en cause.
Combien de temps dure l'erreur après correction ?
Le temps que les résolveurs oublient la réponse négative. Cette durée dépend de l'enregistrement SOA de votre zone : en général quelques minutes à quelques heures.
Mon domaine a expiré, le site reviendra-t-il tout seul après paiement ?
Oui, une fois le renouvellement ou la restauration validé par le registre. Le domaine est alors republié dans le DNS, puis les caches se mettent à jour. Si les NS ont été modifiés pendant la suspension, vérifiez-les.
Pourquoi www fonctionne mais pas le domaine sans www, ou l'inverse ?
Ce sont deux noms distincts dans le DNS. Chacun a besoin de son propre enregistrement A, AAAA ou CNAME. Vérifiez les deux avec dig.