Ich werde mich bei Zeiten einmal mit Let's Encypt befassen.

Eigentlich muss man nur certbot installieren (und zuvor dafür sorgen, dass der Hostname im Internet zu seiner IP auflösbar ist und natürlich, dass dieser aus dem Internet auf Ports 80 und 443 (TCP) erreichbar ist.

Das Debian-Wiki verrät, wie einfach das ist.