期限切れ事故のほとんどは自動更新の停止
Let's Encrypt の証明書は 90 日なので更新の自動化が前提です。ところがサーバー移設やファイアウォールの変更をきっかけに更新が失敗し始め、誰も気づかないまま期限当日にサイトが止まります。残り 30 日を切っているのに更新の記録がなければ、そこが確認どきです。
対象範囲（SAN）も見る
証明書には保証するホスト名の一覧が入っています。www を入れ忘れたり、サブドメインを追加したのに再発行していなかったりすると、そのアドレスから来た訪問者だけが警告を見ることになります。
古い TLS は無効にする
TLS 1.0 と 1.1 には既知の弱点があり、セキュリティ診断では必ず指摘されます。現行のブラウザはすべて 1.2 以上に対応しているため、無効にしても実利用に支障はありません。