2026 Mac Mini loué 7×24 : matrice certbot, launchd, sondes santé et paramètres de fenêtre silencieuse nocturne

HTTP-01 vs DNS-01 : quel défi certbot pour votre location ?

Un seul mode principal par nom d’hôte ; les wildcards imposent DNS-01 ; un reverse proxy mono-hôte sur Mac Mini loué reste souvent en HTTP-01 si les ports quatre-vingts et quatre cent quarante-trois sont publics.

• HTTP-01 : nginx sert /.well-known/acme-challenge/.
• DNS-01 : plugin API ; jetons dans le trousseau, jamais dans git.
• Staging : certbot certonly --staging avant le plist de production.

sudo certbot certonly --nginx -d gateway.example.dev \
  --deploy-hook /usr/local/bin/reload-proxy.sh

export CF_DNS_API_TOKEN="$(security find-generic-password -s certbot-cf -w)"
sudo -E certbot certonly --dns-cloudflare \
  -d gateway.example.dev -d '*.gateway.example.dev'

launchd, renew-hook et repli crontab

Sur une location 7×24, préférez launchd StartCalendarInterval : journaux à chemins fixes et rechargement après reboot. Associez un renew-hook qui valide nginx avant HUP.

<?xml version="1.0" encoding="UTF-8"?>
<plist version="1.0"><dict>
  <key>Label</key><string>com.runmini.certbot-renew</string>
  <key>ProgramArguments</key><array>
    <string>/opt/homebrew/bin/certbot</string>
    <string>renew</string><string>--quiet</string>
    <string>--deploy-hook</string>
    <string>/usr/local/bin/reload-proxy.sh</string>
  </array>
  <key>StartCalendarInterval</key><array>
    <dict><key>Hour</key><integer>3</integer><key>Minute</key><integer>17</integer></dict>
    <dict><key>Hour</key><integer>15</integer><key>Minute</key><integer>17</integer></dict>
  </array>
  <key>StandardOutPath</key><string>/var/log/certbot-renew.log</string>
</dict></plist>

#!/bin/bash
# reload-proxy.sh — proxy uniquement ; ne pas toucher OpenClaw
nginx -t && kill -HUP "$(cat /usr/local/var/run/nginx.pid)"

17 3,15 * * * /opt/homebrew/bin/certbot renew -q \
  --deploy-hook /usr/local/bin/reload-proxy.sh \
  >> /var/log/certbot-renew.log 2>&1

Chargez avec launchctl bootstrap gui/$(id -u) ~/Library/LaunchAgents/com.runmini.certbot-renew.plist. Passerelles Node en parallèle : voir launchd vs PM2.

Fenêtre silencieuse, sondes santé et routage d’alertes

Placez le renouvellement certbot dans une fenêtre silencieuse UTC pour que le bruit de rechargement n’éveille pas l’astreinte. Une sonde distincte toutes les soixante secondes distingue TLS et panne amont.

#!/bin/bash
# com.runmini.tls-health
END=$(openssl s_client -connect 127.0.0.1:443 -servername gateway.example.dev 2>/dev/null \
  | openssl x509 -noout -enddate | cut -d= -f2)
EPOCH=$(date -j -f "%b %e %T %Y %Z" "$END" "+%s")
DAYS=$(( (EPOCH - $(date +%s)) / 86400 ))
[ "$DAYS" -lt 14 ] && curl -fsS -X POST "$ALERT_URL" -d "{\"days_left\":$DAYS}"
curl -fsS --max-time 5 https://gateway.example.dev/healthz || exit 1

• Supprimer les webhooks non P1 22:00–06:00 UTC plus trente minutes de tampon renew.
• Pager immédiatement si days_left < 7 ; avertissement seulement au-delà de quatorze jours.
• Étiqueter tls_renew vs upstream_down pour éviter le débogage SSH à l’aveugle.

Lignes d’eau disque APFS et journaux certbot

Un disque plein fait échouer l’écriture ACME et fait gonfler certbot-renew.log. Alignez-vous sur la FAQ lignes d’eau APFS avant tout renew sans surveillance.

• Jaune quinze pour cent APFS libre — suspendre renew ; rouge dix pour cent — arrêter certbot et pager.
• Rotation certbot-renew.log à 128 Mo × 7 jours via newsyslog.
• Décaler renew des sauvegardes profondes ; voir launchd throttle I/O.