Pour les résistants qui ont un serveur xmpp ejabberd et qui utilisent let's encrypt. Pour ma part, mon certif est généré par certbot à l'aide d'un webroot. On peut mettre ceci dans un cron et recharger la conf d'ejabberd si le fichier résultant change:

cat /etc/letsencrypt/live/domain.tld/privkey.pem /etc/letsencrypt/live/domain.tld/fullchain.pem > /etc/ejabberd/ejabberd.pem