ky0

LE с некоторых пор умеет wildcard. Ну либо да - отдельные конфиги. Можно ещё в путь к SSL-файлам переменную добавить, равную имени хоста.

Добавить все нужные имена в директиву server_name нгинкса.

Предлагаю вам смотреть в сторону inotify и похожих штук. Но вообще - в рамках одного веб-сервера это проблематично, поскольку если появится кривота хотя бы у одного клиента - нгинкс не поднимется. Соответственно, нужна верификация с последующим откатом.

Намного логичнее предоставить каждому пользователю свой экземпляр веб-сервера.

Попробуйте без хуков, просто через крон:
certbot renew ; service nginx reload

Ну и логи, разумеется - помогли бы.

Using variables in proxy_pass implies, that the URI specified is a full one. Quoting ​the documentation:
A server name, its port and the passed URI can also be specified using variables:

proxy_pass http://$host$uri;

This behaviour is not very intuitive, though it's how it works. Variables in proxy_pass were introduced
If you want nginx to use URI of the original request instead of the one specified in the proxy_pass, avoid specifying URI at all (note no trailing slash):

proxy_pass http://$host;

If you want to pass some changed URI, you can do so by using rewrite ... break in the same location.

https://trac.nginx.org/nginx/ticket/1067

Это не тот конфиг. Покажите относящийся к вашему сайту из /etc/nginx/sites-enabled/.

Сделайте локейшен с более строгим совпадением. if действительно не нужен.

access_log /var/log/nginx/sfera-images.com.log;
access_log off;
log_not_found off;

В последнем локейшене. Оставьте только первую строчку.

Разнесите сайты разных пользователей по отдельным контейнерам. Нгинкс работает от одного пользователя, поскольку не плодит процессы как апач.

Так и будет, пока не добавите конфиг с валидным сертификатом. С другой стороны - когда вы его добавите, отпадёт необходимость в этом дурацком редиректе, мвахахаха.

Передавайте не через аргументы, а в заголовке.

А в чём сложность-то? Если у вас автоматизировано создание конфигов для нгинкса, сделайте следующим шагом генерацию сертификата каким-нибудь certbot`ом, вот и всё.

Правильнее добавить отдельный локейшен, который бы выполнялся до дефолтного /.

nginx вначале ищет среди всех префиксных location’ов, заданных строками, максимально совпадающий. В вышеприведённой конфигурации указан только один префиксный location “/”, и поскольку он подходит под любой запрос, он и будет использован, если других совпадений не будет найдено. Затем nginx проверяет location’ы, заданные регулярными выражениями, в порядке их следования в конфигурационном файле. При первом же совпадении поиск прекращается и nginx использует совпавший location. Если запросу не соответствует ни одно из регулярных выражений, nginx использует максимально совпавший префиксный location, найденный ранее.

https://nginx.org/ru/docs/http/request_processing.html

"Пятисотые" ошибки не имеют отношения к сертификатам - это проблема с веб-сервером. Либо что-то с бэкендом (если он есть) - не запущен, ошибка конфигурцаии, либо внесены изменения в сам нгинкс, но не относящиеся к SSL.

Вас не смущает, что в урле реквеста ничего про 8080 порт нету? Ну и вообще, зачем он в принципе?

Увеличить таймаут, а потом в спокойной обстановке без отваливающихся запросов расследовать. Сетевая подсистема на убунтах нормально настроена, затюнена и т. д.?