Продление и его последствия

Сертификат живёт около трёх месяцев. Само продление обычно проходит без проблем, а вот вокруг него ломается регулярно.

Что чаще всего идёт не так

Проверка владения доменом просит порт 80, а он закрыт или занят другим процессом.
Новый файл записался, но с неправильными правами, и сервис не может его прочитать.
Файл обновился, а сервис держит старый сертификат в памяти: нужен reload или restart.
Продлился листовой сертификат, а промежуточный в файле остался от прошлого выпуска.

Что проверить после продления

openssl s_client -connect example.com:443 -servername example.com /dev/null \
  | openssl x509 -noout -subject -issuer -dates

Смотрим на то, что отдаёт сервер, а не на файл на диске. Даты, издатель, полная цепочка. Если рядом с веб-сервером живёт ещё какой-нибудь процесс со своим конфигом, его тоже придётся перезапустить: сам он о новом файле не узнает.

Про сроки

Продлевать лучше заранее и с запасом, а не в последний день. Если что-то сломается на этапе проверки домена, будет время разобраться без спешки. И напоминание в календаре лишним не бывает, даже если стоит автопродление.