Certbot продлить работает, но не продлевает

Я установил certbot на хосте Ubuntu 16.04, используя PPA.

Я вижу, что таймер certbot настроен на работу и работает:

jaraco@punisher:~$ sudo systemctl status certbot
● certbot.service - Certbot
   Loaded: loaded (/lib/systemd/system/certbot.service; static; vendor preset: enabled)
   Active: inactive (dead) since Wed 2018-12-26 01:02:41 UTC; 15h ago
     Docs: file:///usr/share/doc/python-certbot-doc/html/index.html
           https://letsencrypt.readthedocs.io/en/latest/
  Process: 18502 ExecStart=/usr/bin/certbot -q renew (code=exited, status=0/SUCCESS)
 Main PID: 18502 (code=exited, status=0/SUCCESS)

Warning: Journal has been rotated since unit was started. Log output is incomplete or unavailable.
jaraco@punisher:~$ cat /lib/systemd/system/certbot.service
[Unit]
Description=Certbot
Documentation=file:///usr/share/doc/python-certbot-doc/html/index.html
Documentation=https://letsencrypt.readthedocs.io/en/latest/
[Service]
Type=oneshot
ExecStart=/usr/bin/certbot -q renew
PrivateTmp=true

Однако сегодня я заметил, что у одного из сайтов, управляемых certbot, был просроченный сертификат (24 декабря).

Я побежал sudo certbot renew и сертификат обновлен должным образом.

Так что не так? Почему таймер работает успешно, но не может обновить истекающий (или истекший) сертификат, когда запуск команды вручную работает нормально?