Богдан, чтобы не заниматься ручным обновлением сертификата, прописывая TXT записи в DNS, нужно использовать поддерживаемый DNS, типа cloudflare или cloudns. Общий смысл в том, что certbot (или какой-нибудь acme.sh) будет обращаться по API к DNS, используя некий логин и пароль или токен, чтобы создавать необходимые TXT-записи, они будут проверяться на стороне letsencrypt, после чего будет выпускаться wildcard-сертификат. В таком случае wildcard-сертификаты будут нормально обновляться автоматически.
Вот
тут, например, можно найти список поддерживаемых DNS-провайдеров
В этом случае команда для выпуска сертификата через certbot будет выглядеть примерно так (на примере cloudflare):
certbot certonly --dns-cloudflare \
--dns-cloudflare-credentials ~/.secrets/certbot/cloudflare.ini \
--dns-cloudflare-propagation-seconds 10 \
--server https://acme-v02.api.letsencrypt.org/directory \
--preferred-challenges dns-01 \
--noninteractive \
--agree-tos \
--email <your_email@address> \
-d <your-domain.name> \
-d <*.your-domain.name>