Un client ACME come certbot, acme.sh, Caddy o Traefik dimostra alla CA il controllo del dominio. Con HTTP-01 crea un file in /.well-known/acme-challenge/ che la CA scarica sulla porta 80. Con DNS-01 crea un record TXT _acme-challenge, che permette anche certificati wildcard.
I certificati Let's Encrypt durano 90 giorni, quindi il rinnovo deve essere automatico, con un timer systemd o cron, compreso il reload del web server, che altrimenti continua a servire il certificato vecchio.
Cause frequenti di rinnovi falliti: porta 80 bloccata dal firewall, un redirect che intercetta /.well-known/, un record CAA che non autorizza la CA, oppure i rate limit dopo troppi tentativi falliti.
Esempio
certbot renew --dry-run