Port 80 ist der Standardport für HTTP. Inhalte sollten hier nicht mehr ausgeliefert werden, nur noch ein 301-Redirect auf HTTPS. Mit HSTS fragen Browser danach direkt Port 443 an.
Offen lassen ist trotzdem sinnvoll: Let's Encrypt prüft die HTTP-01-Challenge immer über Port 80 unter /.well-known/acme-challenge/. Ist er gesperrt, scheitert die Zertifikatserneuerung – Alternative ist die DNS-01-Challenge.
Typische Fehler: Redirect-Schleifen hinter einem Reverse Proxy oder Load Balancer, weil das Backend X-Forwarded-Proto nicht auswertet, und ACME-Fehler durch einen Redirect, der die Challenge-URL nicht ausnimmt.
Prüfen
curl -I http://beispiel.de