letsencryptではドメインの確認のため、certbotが臨時の公開鍵で署名したファイルをディレクトリー`/.well-known/acme-challenge`に置いて、そこに`ACME Challenge`してきます。もしそのディレクトリーに適正にアクセスできなかければ、そのエラーが発生します。例えば、3つのドメインのどれかを301リダイレクトしていないでしょうか?

そういう場合には、letsencrypt用に`webroot`を別に設定するようにします。`webroot`の場所はどこでもいいですが、403にならないようにしておきます。

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/acme-challenge;
    }