Letsencrypt wildcard + bind: как автоматически продлевать сертификат?
Вариант делегировать 3 уровень на внешний dns с поддержкой api не рассматривали? Например, у cloudflare на бесплатном аккаунте есть поддержка dns.
Есть возможность автоматизировать этот процесс.
В Сети есть готовые плагины к certbot, позволяющие редактировать DNS у некоторых операторов типа Hetzner, reg.ru etc.
Если готовый не найдете-придется писать самому.
Вот ссылка на официальный каталог https://certbot.eff.org/docs/using.html#dns-plugins но им можно не ограничиваться.