Certificado TLS vence em menos de 14 dias

Item	Detalhe
Serviço afetado	Sondas (blackbox)
Severidade	aviso
Dispara quando	Certificado com menos de 14 e mais de 3 dias para vencer, por mais de 10 minutos (probe_ssl_earliest_cert_expiry).

O que representa

O certbot começa a renovar 30 dias antes do vencimento (cron diário às 3h). Faltar menos de 14 dias quer dizer que a renovação automática falha há duas semanas. Ainda dá tempo, mas o próximo passo é um site fora do ar.

Como verificar no Grafana

• Dashboard nginx, aba Visão geral: Certificado que vence primeiro e Certificados TLS: dias para vencer (qual host).
• Na VM: cat /etc/cron.d/certbot-renew (o cron existe?).

Como agir

1. Rode o mesmo comando do cron com --dry-run e leia a saída (o certbot roda em docker run --rm: o log some com o container).
2. Veja se o desafio HTTP-01 chega: porta 80 aberta, /.well-known/acme-challenge e a pasta certbot-webroot.
3. Depois de renovar, o nginx precisa de reload: docker exec nginx nginx -s reload. Tudo no bootstrap.md, seção 10.