certbot certificates montre un certificat valide jusqu'au 18/12 : le renouvellement du 19/09 a réussi.
Mais nginx lit /etc/nginx/ssl/boutique.crt, une copie du 21/07 expirée le 18/10. Le script
copie-nginx.sh, chargé de recopier après chaque renouvellement, échoue depuis le 19/09 avec
« Permission denied » (code 126) : la restauration du 06/09 lui a retiré le bit d'exécution.
nginx tourne normalement (avec -k le site répond) et l'horloge est juste (le certificat a réellement expiré le 18/10).
Incident résolu
Analyse et correction
Correction propre : pointer nginx directement sur les fichiers de certbot
(ssl_certificate /etc/letsencrypt/live/boutique.tifawt-argan.ma/fullchain.pem; et privkey.pem), puis
nginx -t et systemctl reload nginx. Vérifier avec openssl s_client … | openssl x509 -noout -dates.
Prévention :
- plus de copie : nginx lit
/etc/letsencrypt/live/…et un deploy hook se limite àsystemctl reload nginx; - superviser la date d'expiration du certificat servi (sonde HTTPS, alerte à 21 jours), pas seulement le timer certbot ;
- après une restauration, vérifier les droits des scripts (
chmod +x).