они и так обновляются с минимальным даунтаймом.
акме по крону берет новый сертификат, делает релод сервера, все. На обычной системе, не хайлоад, никто ничего не заметит даже.
shasoftX, он проверяет логин и пароль на сервере который указан в его конфиге. то есть если он запущен и настроен смотреть на сервер mail.company.org , то вводить надо логин и пароль почтового пользователя сервера mail.company.org
ошибка вылазит на клиенте? если да, то это естественно, так как твой фронт слушает на порту 443 и проксирует на 3010. А запрос от клиента идет к https://theta-learn.ru:3010/api/ , убирай отсюда порт и запрос придет на сервер, в описанный location /api и так далее.
как вариант - ноут корпоративный? (или был корпоративный, привязанный к Autopilot) , если оно - служба поддержки конторы-владельца ноута должна иметь доступ к ключу BitLocker
в любом случае, эластик не опенсорс, более того они вполне себе огораживаются от России.
я бы рассматривал opensearch , форкнутый от эластика, впрочем как он сейчас поживает - не могу сказать, давно не погружался в тему. .