Certbot — официальный клиент Let's Encrypt для автоматического получения и обновления бесплатных TLS-сертификатов. Запускаешь certbot --nginx, он находит домены в конфиге nginx, получает сертификат через ACME-челлендж и прописывает пути в конфиг. Сертификаты действуют 90 дней, certbot ставит cron/timer для автопродления. Это стандарт для продакшена — нет причин платить за сертификаты для обычных сайтов.