Odpověď na názor

Myslím tím situace, které mají charakter chyby. A je jedno jestli technické či lidské. Pak stačí, aby se nemonitoroval ten certifikát na každé službě kde je použit a je vymalováno.

API certifikační autority může mít výpadek, a občas skutečně má.
Je tam rate limit, na který lze narazit.
Dojde ke změně v api a zapomene se aktualizovat acme klient.
Díky chybě v konfiguraci (webserveru, acme klienta, firewallu) nedojde k obnovení (naprosto typicky po nasazení geoblokace)
Nebo se cert obnoví, ale nereloadne se korektně služba.

Hele těch situací kdy to selže je hromada a většinu z toho co jsem napsal jsem už někde zažil. Vše spolehlivě řeší monitoring … ale u prostředí kde je těch domén stovky či tisíce asi nikdo nemonitoruje všechny, v lepším případě nějakou malou množinu těch důležitých.