Essa foi a solução final, Jim! Ter múltiplos domínios nos permitiu emitir o novo certificado novamente!
Também funciona muito bem com o Discourse, já que eles atuam como aliases — o que é muito conveniente!
@pfaffman o reload funcionou perfeitamente — só precisávamos emitir ambos os certificados para a chave RSA e a chave ECC e, em seguida, instalá-los com o acme.sh primeiro.
Todo o problema inicial foi causado pela falta de suporte ao IPv6 no Discourse, que impediu a renovação dos certificados do Let’s Encrypt. Tínhamos um registro DNS AAAA, mas o Discourse não respondia no endereço IPv6 e os certificados falharam na renovação.
Depois de remover o registro AAAA, tudo funcionou corretamente.
Espero que o Discourse melhore seu suporte ao IPv6 — há muitos problemas relatados com o Let’s Encrypt e o IPv6, e a única solução é remover o registro AAAA @codinghorror