Durch gewachsense Infrastruktur kann ich nicht jedes Gerät von außen erreichbar machen und ein ständiges importieren des neuen LE Zertifikats ist auch keine Option.
Die DNS-Validierung ist keine Option? Das könnte man über die DNS-API abwickeln. Dafür muss das Gerät nicht von außen erreichbar sein.
Den späteren Import am Gerät kann man mittels Script sicher auch irgendwie automatisieren. Bei mir bekommt sogar der Drucker automatisch ein LE-Zertifikat. Hochgeladen wird es mit ein paar cURL-Befehlen und ein wenig Bash-Zauberei.