Das Problem ist doch primär die Erstausstellung des Zertifikats

[rubberduck09]

Bei Verlängerung kann man doch dann via https prüfen und auch gleich schauen ob das hier verwendete Cert auch das zuvor ausgegebene ist oder was anderes.

Zudem wäre es durchaus für viele hinnehmbar wenn im DNS auch noch was hinterlegt werden muss. Machts zwar etwas schwerer aber nicht unmöglich. Cloud Provider die DNS in der eigenen Hand haben habens da dann am einfachsten.