letsencrypt и DNS-01 проверка.

Бросил на пол пути. Но насколько помню: да. А иначе как подтвердить, что ты владеешь доменом? Там по сему есть всякие DDNS скрипты, которые создадут/удалят TXT запись.

Ну если есть в домене специальная запись с набором символов, производных от твоего какого-нибудь API-ключа, то значит ты всё ещё владеешь доменом и выдавать сертификат, по этому ключу. Я думал как-то так это реализовали.

Да, меняется каждый раз, значение генерируется на стороне letsencrypt, его надо вставить в TXT запись. Вот тут подробнее можно прочитать - https://doam.ru/letsencrypt_certs_through_dns/