Короче сегодня ночью внезапно отрубился сертификат Клаудфлера и все встало нахер.
Решение придумал в том, чтобы вырубить у Флера SSL и оставить только DNS, а сертификат сгенерить самостоятельно.
Но генерировалка сертификатов certbot мне тут нагенерировала своих сраных сертификатов так, что нгинкс перестал подниматься. Возможно, дело в том, что я ставил сертбот из дефолтного репозитория дебиана, а не из снапа с сайта сертбота, и то, что в репе, давно устарело, не знаю.
В итоге откатил на машине все конфиги ФКФВ назад, придется 1-2 дня посидеть без сертификата. Отдельные браузеры будут ругаться (например ставить иконку алерта у урла, как Яндекс Браузер), но это пока игнорируйте.
Версия с www не работает вообще, имейте в виду. С https все форвардится на http.
Сегодня-завтра, ночью, поэкспериментирую с нгинксом, и разберусь конечно, не волнуйтесь.
Спасибо сэрам Разуваеву и Алехандро за своевременные советы.
