@lumin Всё это лишние тонкие места.

- сторонний сервис может стать банально недоступен, либо забанить тебя
- сервисы типа LE сами по себе очень жирная цель, так как пользуются доверием, имеют огромную базу, но при этом ничего никому не должны
- чтобы проходить валидацию на сервере в публичной сети, надо самому там быть, т.е. у тебя часто на пограничном сервере оказывается даже не сертификат, а механизм валидации. Либо механизм получения сертификата в одном месте, но придётся пилить автоматику, которая будет обновленный сертификат распространять, что не всегда просто и в любом случае требует лишних отверстий.

@iron_bug @lumin Всё становится интереснее, когда домен не один.

У ряда отраслей, например, нормальная практика работать с отдельными проектами и, в числе прочего, создавать сайт под каждый, причём сайт не всегда страничка-визитка, а и набор сервисов. Может быть набор юрлиц/брендов и всё такое. Добавим туда ебанутый мир ентерпрайзного ПО, где одно требует вайлдкард, другое его наоборот не поддерживает, а третье требует сертификат с именем своего сервисного домена как subject name и ниипет, alt не канает. Всякие железки с вшитым внутрь списком УЦ.

И вот имеем кучу среднего размера компаний, у которых по пятьдесят доменов, но собственный УЦ с внешним доверием, на который тут выше настойчиво намекают, им по понятным причинам не светит, да и вообще своя PKI это геморрой отдельного уровня.