diagnose: сенсор сроков серта не сканирует /opt/selfsteal/certs → на selfsteal-ноде cert_min_days=-1 (слеп); и считает снятые с renew серты #39

Что происходит

Сенсор сроков TLS в diagnose.sh не видит selfsteal-серт, лежащий в нестандартном каталоге, и
на такой ноде отдаёт cert_min_days=-1 — то есть о протухании фасадного серта не предупредит
вообще, хотя ради этого сенсор и нужен.

Наблюдалось

2026-09-02, флот из 7 selfsteal-нод (v4.0.1). Фасадные серты у всех лежат в
/opt/selfsteal/certs/<sni>/fullchain.cer (nginx-selfsteal в контейнере). На nl1 серт вдобавок
самоподписанный (домен в clientHold, acme нет):

$ na-diagnose --json | jq .cert_min_days      # nl1
-1
$ ls /opt/selfsteal/certs/nl1.coppergate.cloud/fullchain.cer   # серт есть
… fullchain.cer

Ноды, где параллельно живёт acme.sh, случайно спасаются — сенсор находит копию в
/root/.acme.sh/<sni>/fullchain.cer. Но это побочный эффект, а не покрытие: на ноде, где acme нет
или снят, сенсор слеп.

Корень

scripts/diagnose.sh:688 (и :125 в json-ветке) сканирует ровно два глоба:

for cf in /etc/letsencrypt/live/*/fullchain.pem /root/.acme.sh/*/fullchain.cer ${NA_CERT_PATHS:-}; do

Каталог, куда реально кладёт серт selfsteal-контейнер (/opt/selfsteal/certs/*/fullchain.cer),
в список не входит. NA_CERT_PATHS есть, но его надо знать и задать руками на каждой ноде — а
дефолт молчит (info "…задай NA_CERT_PATHS" — не warn, легко пропустить).

Смежный дефект (тот же участок)

Глоб /root/.acme.sh/*/fullchain.cer захватывает и серты, снятые с renew (acme.sh --remove
оставляет каталог, но продлевать перестаёт). На cdn1 так лежит легаси eu3.coppergate.cloud_ecc
(снят с renew 31.08) — с его notAfter сенсор с 25.10 начнёт давать ложную тревогу о «протухающем»
серте, которого в проде уже нет. Стоит сверять кандидатов со списком активных в acme.sh --list
(Le_NextRenewTime), а не брать все каталоги подряд.

Предлагаемый фикс

1. Добавить в дефолтные пути /opt/selfsteal/certs/*/fullchain.cer (и, шире, дать сенсору
   подсказку от protect/optimize, если selfsteal-путь известен из конфигурации).
2. Когда не найдено НИ одного серта, а на :443/:8443 слушает TLS — поднимать до warn, а не info
   (сейчас «серт-датчик слеп» и «сертов нет» неотличимы и оба тихие).
3. Отсеивать серты, снятые с renew (сверка с acme.sh --list), чтобы не тревожить по мёртвым.