ACME pode emitir o certificado e ainda deixar Nginx, Apache, CDN ou balanceador servindo a versão antiga. Mapeie cada domínio e ponto de terminação TLS, confira permissões da chave, cadeia intermediária e escolha HTTP-01 ou DNS-01 conforme a infraestrutura.

Depois da renovação, valide configuração, faça reload gracioso e consulte o endpoint público com SNI para conferir nomes e expiração. Teste alertas e simulação em staging; tokens DNS devem ter privilégio mínimo e nunca aparecer em logs ou repositórios.

A Mindcore detalha como operar a renovação TLS/ACME sem surpresa.