я предпочитаю dehydrated, а не certbot , но полагаю, что принцип тот же:
- путь .well-known алиасится на служебный каталог certbot
- certbot, общаясь с LE, получает файл
- кладёт этот файл в .well-known/acme-challenge
- LE обращается по URL и проверяет наличие файла
Если у Вас стоит безусловное перенаправление всех запросов на, например, index.php , то этот механизм не сработает. Поэтому находите служебную папку, закидываете в неё любой текстовый файл ( 1.txt ) , пробуете открыть в браузере и правите свои конфиги, пока не заработает. Потом тестовый файл удаляете, сертбот запускаете