证书续期失败是定时炸弹。列六种原因与诊断：80 端口 challenge 路径被跳转挡住、DNS 变更、证书目录权限、ACME 客户端过旧或端点下线、cron 失效且未 reload nginx、多域名证书「全或无」。含 dry-run 先行的原因（每周 5 次失败上限）。