Diagnóstico do Let's Encrypt — por que o certbot falha

Porque o desafio HTTP-01 sempre começa na porta 80. A autoridade certificadora se conecta ali primeiro, independentemente do que seu site faça depois, e um firewall que descarta a porta 80 torna o desafio impossível. Redirecionar a porta 80 para HTTPS é tranquilo: a AC segue o redirecionamento e não confere o certificado ao fazê-lo. Fechar a porta não é. Se realmente não puder abri-la, DNS-01 é a alternativa.

Sim. Antes da emissão não existe arquivo de desafio, então um 404 é o que um servidor bem configurado deve devolver. O que importa é que a requisição tenha chegado ao seu servidor web. Durante a validação o certbot coloca o token real nesse caminho e a AC o encontra. Uma falha de conexão ou um 403 significam que a requisição nunca chegou — e esse é o problema de verdade.

Um registro DNS que indica quais autoridades certificadoras podem emitir para o seu domínio. As autoridades são obrigadas a consultá-lo e a recusar se não estiverem listadas. As pessoas acabam com um por causa do assistente de configuração de um provedor anterior, de um painel de hospedagem ou por herança de um domínio pai: um registro em example.com vale também para www.example.com, e por isso «eu nunca criei um» costuma estar errado.

De forma indireta, e é justamente esse o ponto. A Let's Encrypt limita quantos certificados podem ser pedidos por domínio por semana, e são as tentativas falhas repetidas que esgotam a cota. Verificar as condições antes de rodar o certbot de novo é o que evita queimá-la em tentativas que já iam falhar.

Não, e nunca emitirá. Não realiza operações ACME, não guarda chave alguma e não conversa com nenhuma autoridade certificadora — apenas observa seu domínio de fora. A emissão pertence ao seu servidor, onde vive a chave privada e onde a renovação pode ser automática, o que uma página web não consegue oferecer.