d00p

Login in as customer, goto "path options" create a new entry and allow "Directory content browsing".
Globally settings +Indexes is not a good idea

what you want is libnss-extrausers - also remember to activate that in the froxlor settings and then follow the configuration templates for it

Das ergibt so gar keinen Sinn...warum sollte Let's Encrypt für domain-alt.tld genenieren wenn ich eins für domain-neu.tld anfordere? Wenn du tatsächlich überall den hostname korrekt geändert hast (allen voran System-Settings -> Hostname, der ist hier relevant) dann kann ich mir nicht vorstellen wieso er sowas tun sollte.
Am besten löschst du zunächst nochmal die Zertifikate von neu und alt (!) und zwar zum einen in froxlor (sofern noch vorhanden) unter dem Punkt "SSL Certificates" und zum anderen, nicht wie du vermutet hast unter /etc/ssl/froxlor-custom/ (hier werden die aus der db generierten certificates abgelegt für den webserver) sondern via acme.sh direkt.
cd /root/.acme.sh/ ./acme.sh --remove -d [domain-alt.tld] ./acme.sh --remove -d [domain-neu.tld] rm -rf /root/.acme.sh/[domain-alt.tld] rm -rf /root/.acme.sh/[domain-neu.tld/ Und dann versuchst du es nochmal ganz in ruhe von vorne

Diese Einstellung hat nur Auswirkung wenn du auch lokal einen DNS Server betreibst, die allerwenigsten machen das. Bist du einer der weniger, dann wird ein entsprechender SPF/TXT Record in die Zone der Domain eingefügt

Ist das Default Setup, such nach myhostname und mydomain in der main.cf

gitlab ist halt nicht gerade als "webhosting kunde" zu betreiben. Dafür sollte eigentlich eine eigene VM genutzt werden, da dort auch einige Dienste laufen etc.
Am einfachsten fährst du in Einklang mit Froxlor wenn du eine Domain (oder subdomain) nutzt die gar nicht von froxlor verwaltet wird, denn gitlab hat seinen eigenen Dienst dafür (läuft local auf port 8181). D.h. der apache wird in diesem Fall nur als proxy verwendet (er leitet quasi alle anfragen an 127.0.0.1:8181 weiter). 
Auch sollte die Nutzung des besagten Vhosts für gitlab kein Problem sein, denn die ServerName-Anweisung sagt dem webserver ja für welche Domain er verantwortlich ist. am besten nennst du sie "001-gitlab.conf" dann wird sie gleich am anfang eingebunden (apache ordnet die vhosts nach dateinamen)

Wierum du es benötigst sei dir überlassen
Wenn my-kö.de die produktiv-genutzte domain sein soll, dann klar, ist my-koe alias von my-kö.de
Und nein, das bedeutet nicht quasi das die domain auf eine andere zeigt, sie ist ein ALIAS, also quasi GLEICH.
Wenn du das via Redirect regeln willst ist das ja auch kein Problem, trage bei "my-koe.de" einfach als DocumentRoot "https://my-kö.de/" ein und froxlor erstellt einen korrekten redirect. Beachte hierbei, dass dafür natürlich ggfls ein SSL Zertifikat vorhanden sein muss wenn jemand https://my-koe.de/ eingibt.
Wenn da das Zertifikat nicht passt, lösche es doch einfach nochmal aus froxlor und aus acme.sh (/root/.acme.sh/acme.sh --remove my-koe.de) und lass den cronjob ein neues besorgen (php /var/www/froxlor/scripts/froxlor_master_cronjob.php --force --debug)

Also laut code wird vorher schon auf Existenz und Lesbarkeit der Zertifikatsdatei geprüft, so dass dort maximal durch fehlerhaften Inhalt der Dateien die Funktion openssl_x509_parse() fehltschlägt, sonst sollte und dürfte an dieser Stelle dieses Notice gar nicht auftreten.
Verhindern kannst du es mit Hilfe folgender Änderung:
diff --git a/lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php b/lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php index 3e7338e3..b476f755 100644 --- a/lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php +++ b/lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php @@ -502,7 +502,7 @@ class AcmeSh extends \Froxlor\Cron\FroxlorCron if (is_dir($certificate_folder) && file_exists($ssl_file) && is_readable($ssl_file)) { $cert_data = openssl_x509_parse(file_get_contents($ssl_file)); - if ($cert_data['validTo_time_t'] > strtotime($cert_date)) { + if ($cert_data && $cert_data['validTo_time_t'] > strtotime($cert_date)) { return true; } }  

achso, ja das sollte gehen, froxlor liest das working dir aus der acme.sh.env

Nein
So, der Fehler sagt, Domain id 214, und taucht da auf wo er den documentroot prüft. Also bitte einmal die Ausgabe von 
SELECT documentroot FROM panel_domains WHERE id=214

If you are using a recent version of froxlor it's like this:
If let's encrypt is activated for a domain, froxlors cronjob calls acme.sh to issue a certificate.
From this point on, acme.sh takes care of the certificate and it's renewal.
Froxlors cronjob simply checks for changes (new domains, SAN list changes, or similar) to issue to acme.sh.
Any renewal is a simple filesystem synchronisation from /root/.acme.sh/ to froxlors database. The cronjob then creates the certificate files in /etc/ssl/froxlor-custom/ from the contents of the database. The content can vary depending on the used Webserver because it's htttp oriented for the vhosts (e.g. cert + key + chain, or similar)

Erstelle eine eigene Datei unterhalb von /etc/cron.d/

trying my best

Offenbar wurde der Guide nicht korrekt befolgt, als erstes mal http:// ist es nicht, nur https://; zudem dann die passenden pakete: 
apt-get -y install apt-transport-https lsb-release ca-certificates und vor einem apt-get install musst du natürlich ein "apt-get update" ausführen, um die neuen Quellen einzulesen

Klingt nach fpm/mod_php Mix. Hast du fpm vllt für froxlor selbst nicht aktiviert? Dann könntest du kurzfristig mittels a2enmod php das mod_php Modul wieder aktivieren und froxlor erreichen um es umzustellen.

then just copy the lib/userdata.inc.php to your froxlor installation and it will use the database specified there and won't say its not installed

Dad bedeutet das schon ein anderer Dienst auf diesen Port hört. Das passiert meistens wenn du via a2enmod ssl schon SSL aktiviert hast (und Apache damit unter Debian automatisch auf Port 443 hört)  und dann beim Anlegen der IP und des Ports in froxlor noch das Häkchen bei "Erstelle Listen Eintrag" gesetzt hast. Dann fügt froxlor ebenfalls ein "Listen" ein und Apache versucht zweimal zu binden. Eins von beiden musst du entfernen Sinnvollerweise das Häkchen in froxlor

are you by any chance including froxlor_bind.conf twice in the bind.conf?

Die werden geprüft ja

Looks all good from here. Users are correct. Ownership is correct. Most likely, if it's only very limited and temporary (1 or 2 requests) then possibly it's just a php-fpm restart or similar.

Du musst zweierlei Einträge vornehmen. Einmal die Adresse selbst und dann dazu einen Eintrag für das Konto. Wenn du es ganz korrekt machen willst solltest du auch die Anzahl der Adressen und Konten beim Kunden eintragen, sonst kann er am Ende mehr anlegen als erlaubt.
Froxlor erkennt diese Einträge Natürlich und funktionieren wird das vermutlich auch, lediglich entsprechende Validierungs- und Berechtigungsprüfungen umgehst du so natürlich.
 
Nein, außer das die von dir angelegten Konten durch falsche Einträge nicht korrekt funktionieren sollte es andere nicht beeinflussen.
 
Alternativ dazu: schreibt doch einfach ein kleines Script was dir entsprechende Einträge über unsere API Schnittstelle anlegt...dann fährst du am sichersten das alles passt.

UPDATE `panel_settings` SET `value`= '1' WHERE `varname` = 'nssextrausers'; Then run cron manually with --force 

No it currently does not

Da fpm diese Optionen in der Pool config via php_admin_value/flag bzw php_valie/flag setzt und wir dafür eine Zuordnung in diese Kategorien brauchen gibt es hierfür Einstellungen unter "Einstellungen" -> "PHP-FPM"; zu welcher Kategorie das gewünschte flag gehört findest du über die php-doku raus. Wenn du dort an entsprechende Stelle dein "openssl.cafile" einträgst "erkennt" froxlor das auch für das erstellen der pool-configs.

If i'm correct then this is not loopback-device related but in case you are using php-fpm with pm=static and children=1 then this is the problem, try at least children=2 so wordpress can request itself internally