J'installe Certbot.
J'utilise la méthode Webroot pour la création des certificats Let's Encrypt.

# certbot certonly --email email@example.com --webroot -w /var/lib/letsencrypt/ -d domain.tld,sub.domain.tld --rsa-key-size 4096

Ensuite un service systemd est activé par un timer pour vérifier la validité du certificat.