лимит в 20 поддоменов в неделю -- это смешно конечно. не хочешь лимит, можно сделать вайлдкард-сертификат. но на него, конечно же, не работает httpChallenge, нужен dnsChallenge. а для этого, например в DO, надо в енв положить токен. а в DO кретинские токены, которые не умеют в скоупы. поэтому токен имеет полные права на все.