Así que me arriesgué y (después de guardar copias) eliminé /shared/ssl/forum.* y /shared/ssl/ssl* y volví a compilar, y eso parece haberlo resuelto.
Así que parece que está tomando /shared/ssl/ssl.crt si uno viejo está por ahí, en lugar de usar los que se supone que debe usar.