Après une période de résignation, j’ai re-parcouru le forum et je suis tombé sur :
J’ai adapté le tuto à ma situation et n’ai effectué que l’étape 6. Tous mes sous-domaines sont repassés à un certificat Let’s Encrypt valide à la première tentative de renouvellement !
C’était donc bien un problème de hairpinning du routeur.