certbot certonly --webroot --webroot-path /srv/certbot --no-eff-email \
    --key-type ecdsa --reuse-key --must-staple --preferred-chain "ISRG Root X1" \
    --deploy-hook "/usr/local/bin/certbot-ocsp-fetcher -o /etc/nginx/ocsp-cache" \
    --cert-name grapheneos.org \
    -d grapheneos.org \
    -d www.grapheneos.org \
    -d mta-sts.grapheneos.org \
    -d mta-sts.mail.grapheneos.org \
    -d grapheneos.app \
    -d mta-sts.grapheneos.app \
    -d www.grapheneos.app \
    -d grapheneos.ca \
    -d mta-sts.grapheneos.ca \
    -d www.grapheneos.ca \
    -d grapheneos.com \
    -d mta-sts.grapheneos.com \
    -d www.grapheneos.com \
    -d grapheneos.dev \
    -d mta-sts.grapheneos.dev \
    -d www.grapheneos.dev \
    -d grapheneos.info \
    -d mta-sts.grapheneos.info \
    -d www.grapheneos.info \
    -d grapheneos.net \
    -d mta-sts.grapheneos.net \
    -d www.grapheneos.net \
    -d grapheneos.ovh \
    -d mta-sts.grapheneos.ovh \
    -d www.grapheneos.ovh \
    -d grapheneos.page \
    -d mta-sts.grapheneos.page \
    -d www.grapheneos.page \
    -d vanadium.app \
    -d mta-sts.vanadium.app \
    -d www.vanadium.app