La porta 80 è la porta standard di HTTP. Non servire più contenuti qui, solo un redirect 301 verso HTTPS. Con HSTS il browser poi va direttamente sulla 443.
Tenerla aperta ha comunque senso: Let's Encrypt verifica la challenge HTTP-01 sempre sulla porta 80 in /.well-known/acme-challenge/. Se è chiusa, il rinnovo fallisce – in alternativa usa la challenge DNS-01.
Errori tipici: loop di redirect dietro reverse proxy o load balancer perché il backend ignora X-Forwarded-Proto, e errori ACME causati da un redirect che non esclude il percorso della challenge.
Verifica
curl -I http://esempio.it