letsencryptではドメインの確認のため、certbotが臨時の公開鍵で署名したファイルをディレクトリー`/.well-known/acme-challenge`に置いて、そこに`ACME Challenge`してきます。もしそのディレクトリーに適正にアクセスできなかければ、そのエラーが発生します。例えば、3つのドメインのどれかを301リダイレクトしていないでしょうか? そういう場合には、letsencrypt用に`webroot`を別に設定するようにします。`webroot`の場所はどこでもいいですが、403にならないようにしておきます。 location ^~ /.well-known/acme-challenge/ { root /var/www/acme-challenge; }