Vous êtes dans un scénario de délégation boiteuse, voir https://dnsviz.net/d/buymy.coffee/YlRerw/dnssec/
En bref, les serveurs de noms du registre ne correspondent pas aux serveurs de noms de la zone déléguée. Tant que ce problème n'est pas résolu, aucun service DNS fiable ne peut être garanti.
$ dig @$(dig NS coffee +short | tail -1) buymy.coffee NS +noall +auth
buymy.coffee. 1h IN NS ns-718.awsdns-25.net.
buymy.coffee. 1h IN NS ns-128.awsdns-16.com.
buymy.coffee. 1h IN NS ns-1310.awsdns-35.org.
buymy.coffee. 1h IN NS ns-1601.awsdns-08.co.uk.
vs
$ dig @ns-718.awsdns-25.net. buymy.coffee NS
; <<>> DiG 9.18.1 <<>> @ns-718.awsdns-25.net. buymy.coffee NS
; (1 server found)
;; global options: +cmd
;; Sending:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16686
;; flags: rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: da92eec7b8a2a23b
;; QUESTION SECTION:
;buymy.coffee. IN NS
;; QUERY SIZE: 53
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 16686
^^^^^^^
Les serveurs de noms utilisés (définis dans le registre pour la délégation) ne sont donc pas les bons ou ne sont pas configurés correctement. Renseignez-vous auprès de votre fournisseur DNS.