auf dem debian raspi macht man das per root-cronjob einfach jeden Tag; ich musste mich zwei Jahre lang um nix kümmern (bin jetzt auf Arch Raspi und da macht man das per service unit)
Das Zertifikat wird erst erneuert, wenn der Ablauf einen Monat bevorsteht.