Obtener el certificado en el momento de la primera conexión a un nombre desconocido, útil para plataformas con muchos dominios; sin control, cualquiera podría provocar emisiones masivas, por lo que se limita con un endpoint ask que autoriza los nombres permitidos

Un modo que solo funciona con certificados autofirmados y sin ACME

Emitir certificados por adelantado para todos los dominios posibles sin necesidad de control

Desactivar HTTPS hasta que un administrador apruebe cada dominio manualmente