Parce que CAcert affiche un avertissement de sécurité pour les clients n'ayant pas ajouté les certificats racines de CAcert, nous utilisons Gandi Let's Encrypt sur grifon.fr et www.grifon.fr. Pour renouveler le certificat depuis gurvant :

sudo certbot certonly --rsa-key-size 4096 --webroot -w /var/www/letsencrypt/ --domains "grifon.fr,www.grifon.fr"

Pas besoin d'arrêter nginx avant de renouveler le certificat, mais il faut le relancer après (sudo service nginx reload).

Il faut également penser à mettre à jour l'enregistrement TLSA dans le DNS à chaque renouvellement (tous les 3 mois). → Normalement cette action n'est plus nécessaire car l'enregistrement TLSA doit maintenant être du type 3 1 2 (voir TLSA). Il faut cependant bien penser à ajouter l'enregistrement TLSA lors de la mise en place d'un nouveau certificat.