>>Вот как раз на одиночных массовых впс-ках и нужна автоматизация - чтобы поднял и работало в дефолтной разумной конфигурации.

одиночные массовые впс-ки - никак не связаны друг с другом, из вашего предложения следует - один прив ключь и разные сертификаты, как было в случае с host ключами на виртуалках )

>>это прибьёт домен к хостеру

не согласен, отказываешся от хостера - автоматом отзывается сертификат. Проблем не вижу.

>>И ещё раз - днссек заставляет доверять владельцу домена верхнего уровня. С тем, что есть сейчас - сам выбираешь иссуера.

Там обычная цепь доверия начиная от корневых, принуждение ? - думаю нет, точнее иерархия.  Про иссуера не понял.

>>И хоть убей не пойму - чем не нравятся 90 дней?

Честно скажу, я очень ждал когда всё же выйдет ЛЕ, но когда увидел весь этот их механизм - жутко не понравился, да мне удобнеей было бы завести на портальчике аккаунт, верефицировать через тот же днс владение доменом, пихнул бы в формочку свой CSR и получил бы стандартно на год валидный сертификат, мне больше ничего не нужно. А теперь посмотрим с другой стороны - имел бы смысл того же протокола ACME (или как он там называется) если бы минимальный период валидности сертификаты был бы в течении 1 года ? Нужно было бы городить костыльные баш скрипты, чтобы через год обновлять сертификат ?

пс: Я прекрасно понимаю, что ЛЕ ешё не совсем продакшен-реди, и ситуация со сроком выдачи в ближайшем будущем изменится.