证书续期失败是定时炸弹。列六种原因与诊断：80 端口 challenge 路径被跳转挡住、DNS 变更、证书目录权限、ACME 客户端过旧或端点下线、cron 失效且未 reload nginx、多域名证书「全或无」。含 dry-run 先行的原因（每周 5 次失败上限）。

502 是上游响应无效，504 是等上游超时——原因几乎相反。按「客户端 → Nginx → 上游 → 上游的后端」四层定位，含 error.log 关键词对照表、超时参数优先级（谁小谁生效）、PHP-FPM 假死识别、容器网络固定 IP 方案。