Huyendo un poco (o mucho) de la complejidad del programa certbot para la renovación de certificados me he decidido a probar uacme que permite la validación vía DNS para gandi.net.