Зачем отдельный домен для служебных записей
Служебные имена лучше не смешивать с почтой и сайтом компании. Отдельная зона проще в DNS, проще отзывать и не тащит за собой лишние MX. Для проверки достаточно A-записи и ответа на 80/443.
Что смотреть, если сертификат не выпускается
Сначала dig +short с публичного резолвера, потом доступность порта 80 снаружи. Частая причина — панель хостера, которая перехватывает HTTP раньше nginx. Лог certbot в этом случае честнее, чем сообщение в браузере.
Коротко про HTTP/3
QUIC живёт в UDP. Если сеть режет UDP целиком, браузер молча откатится на TCP. Имеет смысл держать обычный HTTPS рабочим всегда, а не только как запасной вариант.