TLS

O HTTPS é emitido automaticamente no primeiro acesso a um domínio active (subdomínio gerado ou próprio). Você não envia certificado nem chave.
O domínio precisa estar active (Domínio próprio): DNS apontando para a plataforma e TXT de posse publicado.
Se o DNS está atrás de um proxy (Cloudflare laranja), a verificação falha com proxied: use DNS only.
Bancos gerenciados usam um certificado de CA pública no seu public_host; veja Conexão e referências.

Erro de certificado no primeiro acesso: confirme status: active e repita o acesso após alguns segundos. Persistindo, veja Problemas comuns.