Поплясала с бубном, пописала скрипты и вроде настроила обновление сертификатов Let's Encrypt так, как мне нужно. Ну, может быть идея товарищей выпускать сертификаты на три месяца, чтобы форсировать автоматизацию, была не такой уж и плохой.

Во, вроде ничего клиент.
https://github.com/srvrco/getssl
Настраивается просто, представляет из себя bash скрипт, можно вызвать из другого скрипта, который красиво соберёт сертификаты с ключами для всяких экзотических серверов.