Напишу в 6 раз. Все автоматизируется даже если днс провайдер не имеет апи
В главном домене прописывается cname на _acme-challenge поддомен и указывает на домен, который сидит уже на автоматизированном aws route53 например
Acme.sh умеет так валидировать, например