Валерий Ожиганов, cпасибо. А дело было так: имею domain.com и subdomain.domain.com на них обоих выписан один и тот же сертификат Let's Encrypt. решил свою проблему тем, что в настройках callback'а указал domain.com вместо subdomain.domain.com. костыль, конечно, но пока работает. а там дальше будет время - разберусь досконально.
У меня тоже была такая проблема. Решилась так: это происходило из-за того, что обращение шло по ссылке без "/" в конце адреса, а nginx перенаправлял на адрес с "/", выдавая на первый запрос ошибку 301.