# 인증서 발급 전 임시 설정: ACME 챌린지만 받고 나머지는 503. 발급 후 setup.sh(또는 tls-when-ready 타이머)가 443 설정으로 교체합니다.
server {
    listen 80;
    listen [::]:80;
    server_name @MAIL_HOST@;
    location /.well-known/acme-challenge/ { root @ACME_WEBROOT@; }
    location / { return 503; }
}