Client officiel sans root

OK alors j'avoue que je n'ai pas tout lu, mais je voudrais quand même mentionner que pour ma part, j'utilise le client officiel sur mon serveur de prod, pas en root, en certonly et il juste marche. J'ai un petit script simple pour automatiser un peu l'appel :

DOMAINS="example.com www.example.com"
EMAIL="moi@example.com"
SCRIPT=$(realpath "0ドル")
DIR=$(dirname "$SCRIPT")
CERTS="$DIR/cert"
WWW="$DIR/www"
LE_CERTS="$CERTS/letsencrypt"
mkdir -p "$LE_CERTS"
DOMAINS_ARG=""
for DOMAIN in $DOMAINS; do
 DOMAINS_ARG="${DOMAINS_ARG} -d ${DOMAIN}"
done
letsencrypt certonly -t --agree-tos --renew-by-default --email "$EMAIL" --webroot -w "$WWW" $DOMAINS_ARG --logs-dir "$LE_CERTS" --work-dir "$LE_CERTS" --config-dir "$LE_CERTS"

Le script met les certificats dans le dossier cert/letsencrypt (relatif au script qui est à la racine de mon domaine – pas le document root bien sûr, mais le dossier dans lequel se trouvent le document root, les logs, certificats, etc). Mon serveur web est configuré pour utiliser comme certificats ceux se trouvant dans cert/letsencrypt/live/example.com/*.pem.

Le client indique que n'étant pas lancé en root, il se peut que des trucs ne marchent pas, mais en réalité sa marchent très bien tout seul. Il ne cherche pas à toucher à ma configuration (il n'en aurait pas les droits de toute façon) ni à installer des paquets (je doute qu'il sache utiliser mon package manager) ni quoi que ce soit. Ça fait quelques mois maintenant, et je renouvelle les certificats tous les mois.