я уже голову сломал как оно на моменте ClientHello может выдать клиенту (в данном примере браузеру) ответ о том что ему надо средиректить на другой домен (заглушку в данном примере)
скорее всего человек чего то не договаривает или недопонял и там не на моменте ClientHello и всё же сертификат меняется просто используется частный ЦС что вполне реально если очень захотеть