Renovar certificados de Let's Encrypt con webroot

Let's Encrypt ha desactivado el challenge TLS-SNI-01 así que ahora podemos usar el método webroot para hacer las renovaciones. Para ello es necesario tener abierto el puerto 80 en el servidor.

Para eso, localizamos el archivo de config de renovación en:
/etc/letsencrypt/renewal

En la sección [renewalparams] cambiamos/añadimos:
authenticator = webroot
webroot_path = /var/www

Luego podemos hacer un dry-run para ver si todo está ok:
# certbot renew --dry-run

Y si todo va bien, renovamos el certificado:
# /usr/bin/letsencrypt renew