Pour les certificats Let's Encrypt, personnellement, je trouve acmetool très pratique, c'est ce que j'utilise actuellement pour CalcForge et Ti-Gen.
Avantages:

• Facile à installer, même en l'absence de paquetages. (Même le client officiel n'est pas encore packagé pour EPEL/CentOS, et, lui, a besoin d'une énormité de bibliothèques Python.) C'est un seul binaire, presque sans dépendances runtime (c'est du Go, il linke presque tout statiquement).
• Interface de type "wizard" (en mode texte) pour la configuration initiale, puis une seule commande entièrement automatique à lancer (acmetool want nomdedomaine.example.com) pour demander un certificat.
• Installe automatiquement un cronjob pour renouveler les certificats.

Inconvénients:

• Le binaire est énorme (13,3 MiB! ), parce que Go linke toutes les bibliothèques statiquement et le logiciel en utilise une énormité, et en plus Go met toujours les informations de débogage parce que le langage propose des fonctionnalités d'introspection de type runtime.Callers qui en ont besoin.
• Vu l'état actuel du packaging Go, on ne risque pas de voir un paquetage propre (linké dynamiquement, avec des paquetages pour toutes les dépendances) d'aussitôt (et comme je n'utilise rien d'autre en Go, l'économie de place serait sans doûte inexistante voire négative en pratique de toute façon ). (Go est fait pour avoir des binaires facilement distribuables tels quels, malheureusement au dépens de la packageabilité. C'est vraiment du quick&dirty.)