そもそも nginx だと初回の証明証取得までは :443 で serve できない (なぜなら証明書が存在しない場合にエラーで起動できないため) のでセットアップがダルいみたいなのを思い出してきた。
これはもう Caddy か Traefik で組み込みの ACME クライアントを使うべきだろうな……
ちなみに現状では certbot のデータディレクトリに該当の証明書が存在するかどうかで nginx の sites-enabled を弄るシェルスクリプトを nginx 起動前に走らせることでこれを回避しているが、こんなしょーもないスクリプトのメンテナンスしたくないので (nginx の sites-enabled の命名規約とかも厳密に管理しないといけなくなるし) やめられるならやめたい