برای تمدید سرتیفیکیت دامنه‌های خودتون چه به‌صورت single domain یا wildcard ، پیش روی شما ابزار کاربردی certbot قرار داره که به‌صورت پیش‌فرض می‌تونه سرتیفیکت‌های ۹۰ روزه از let's encrypt بگیره و فعال کنه. پروایدرهای دیگه‌ای هم مثل ZeroSSL از این مسیر قابل دستیابی هستند.
در هر حال با استفاده از CLI مربوط به certbot شما وارد یک چلنج میشید که ثابت کنید مالک اون دامنه‌ای هستید که در حال درخواست سرتیفیکیت برای اون هستید.
پیش روی شما گزینه‌های مختلفی از جلمه موارد زیر وجود داره:

در حالت عادی certbot مستقیم به سراغ روش HTTP میره که در اون تعدادی فایل باید به صورت پابلیک روی سرور شما در دسترس باشن تا مرجع صادرکننده از بیرون اون‌ها رو ببینه و مالکیت دامنه‌ها رو تایید کنه.
وقتی از کامندلاین استفاده کنید این فایل‌ها بدون دردسر اضافه و فرایند به صورت خودکار انجام میشه.
گاهی ممکنه دچار مشکلاتی در انجام این روش بشید (مثل شرایط فعلی ما) که مجبور بشید چالش‌های دیگری رو برای اثبات مالکیت دامنه قبول بکنید که یکی از فراگیرترین روش‌ها روش DNS-01 هست که شما در اون با قرار دادن یک سری ریکورد DNS در بخش Zone Editor محل کنترل دامنه‌ی خودتون ثابت می‌کنید مالک دامنه هستید. از اون‌جایی که در حال حاضر اکثر پرووایدرهای فعلی توانایی این رو دارن که ریکوردهای شما رو Propagate و عمومی بکنن، پس مرجع صادرکننده هم این توانایی رو داره که این ریکوردها رو از خارج از ایران ببینه! خوبی این روش اینه که روی یک ماشین دیگه هم قابل انجامه یعنی شما می‌تونید روی یک سرور/ماشین دیگه فایل‌ها رو درخواست داده و بعد به سرور مقصد بفرستید. توجه داشته باشید که تو همین مرحله می‌تونید تمام دامنه‌های مد نظر خودتون رو وارد بکنید. بهتره که حتماً URL مقادیر رو با www هم وارد کرده باشید.
برای توضیح بیشتر باید گفت که اون manual نشون میده که شما دنبال تمدید اتوماتیک نیستید و اون preferred challenges هم نشون میده که شما دنبال چه چالشی هستید که در این‌جا dns یا همون dns-01 ذکر شده است. همچنین فلگ‌های مربوط به key-type یا elliptic-curve هم الگوریتم امضای دیجیتال شما رو تعیین می‌کنن. به صورت پیش‌فرض سرتبات در این روش به سراغ ECDSA و الیپتیک کرو secp256r1 (P-256) خواهد رفت، اما شما می‌تونید از کامبینیشن‌های مختلف حاصل از RSA, ECDSA و ... استفاده کنید. البته دقت کنید که مقدار پیش‌فرض certbt در این موضوع یکی از بهینه‌ترین الگوریتم‌های ساخت امضای دیجیتال برای وبسایت‌های عادی محسوب میشه.

برای شروع درخواست این چالش کافیه کامند زیر رو در CLI خودتون وارد کنید تا چالش رو دریافت کنید:

sudo certbot certonly --manual --preferred-challenges dns \
    -d example.com \
    -d www.example.com \
    --key-type ecdsa \
    --elliptic-curve secp384r1 \
    -v

بعد از وارد کردن این درخواست برای شما ریکوردهایی که باید در DNS Zone Editor وارد کنید نمایش داده میشه که باید اون‌ها رو در تنظیمات دامنه‌ی خودتون اعمال کنید. توی این مرحله نیازه بین چند ثانیه تا چند دقیقه و حتی بیشتر صبر کنید تا مقادیر به‌طورعمومی در دسترس باشن و به اصطلاح پروپگیت بشن. می‌تونید برای مطمئن شدن از این فرایند از ابزارهایی مثل dig یا nslookup استفاده کنید. همچنین ابزار آنلاینی هم از Google Admin Toolbox در این زمینه در دسترس هست. توجه داشته باشید بعد Propagate شدن این ریکوردها و پاس کردن چالش شما می‌تونید این ریکوردها رو از Zone مربوطه حذف کنید.
بعد از پایان چالش certbot به شما ۴ فایل خواهد داد که در ادامه به اون‌ها اشاره می‌کنیم!
این فایل‌ها روی سروری که درخواست رو فرستاده در آدرس زیر در دسترس هستند:
/etc/letsencrypt/live/domain

/etc/letsencrypt/live/<domain>/
├── cert.pem
├── chain.pem
├── fullchain.pem
└── privkey.pem

شما حالا باید این فایل‌ها رو از سرور یا لوکال خودتون به سرور مقصد منتقل کنید (یا اگر فایل‌ها روی سرور مقصد ایجاد شدن، این فرایند رو نادیده بگیرید).
در اصل برای یک فعالسازی موفق شما به دو فایل fullchain.pem و privkey.pem نیاز دارید. قبل از ادامه‌ی فرایند به دایرکتوری دلخواهی که این فایل‌ها رو در سرور مقصد (ایران اکسس) منتقل کردید برید و دسترسی‌های زیر رو برای این فایل‌ها فعال کنید!
حالا نوبت می‌رسه به این‌که اگر certbot و Automatic renew برای اون سایت‌ها فعال بوده اون‌ها رو حذف کنید. به‌طور کلی شما با استفاده از دستور certbot certificates می‌تونید سرتیفیکیت‌های فعالی که توسط certbot در حال مدیریت هستند رو ببینید. یکی از مزیت‌هایی که سرتبات داره اینه که فرایند اخذ و یا تمدید گواهی در اون بسیار ساده است و حتی شما می‌تونید با قرار دادن کامندهای مربوط به renew در cronjobs این فرایند رو خودکار کنید، اما فراموش نکنید که ما الان در شرایطی هستیم که روی سرور مقصد خودمون امکان استفاده‌ی مستقیم از سرتبات و قابلیت‌هاش رو نداریم پس باید برای سایت مدنظر خودمون که گواهیش منقضی شده غیرفعالش کنیم.

chmod 600 privkey.pem
chmod 644 fullchain.pem cert.pem chain.pem
chown root:root *.pem