diff --git a/docker-compose.yaml b/docker-compose.yaml
index d7fa116..06a2807 100644
--- a/docker-compose.yaml
+++ b/docker-compose.yaml
@@ -292,6 +292,7 @@ services:
       - 'traefik.http.routers.rastroapicampo.rule=Host(`${CAMPO_DOMAIN}`) && PathPrefix(`/api`)'
       - traefik.http.routers.rastroapicampo.entryPoints=https
       - traefik.http.routers.rastroapicampo.tls=true
+      - traefik.http.routers.rastroapicampo.tls.certresolver=letsencrypt
       - traefik.http.routers.rastroapicampo.priority=1000
       - traefik.http.routers.rastroapicampo.service=rastroapi
   web:
@@ -341,6 +342,11 @@ services:
       - 'traefik.http.routers.rastrocampo.rule=Host(`${CAMPO_DOMAIN}`)'
       - traefik.http.routers.rastrocampo.entryPoints=https
       - traefik.http.routers.rastrocampo.tls=true
+      # SEM este resolvedor o Traefik serve o certificado interno dele ("TRAEFIK
+      # DEFAULT CERT") e o navegador recusa — comprovado: o roteador /api do Campo
+      # existia desde 18/09 só com `tls=true` e o domínio nunca ganhou certificado.
+      # `letsencrypt` é o nome do resolvedor que o Coolify cria.
+      - traefik.http.routers.rastrocampo.tls.certresolver=letsencrypt
       - traefik.http.routers.rastrocampo.priority=10
       - traefik.http.routers.rastrocampo.service=rastrocampo
       - traefik.http.services.rastrocampo.loadbalancer.server.port=39030
diff --git a/docker-compose.yml b/docker-compose.yml
index d7fa116..06a2807 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -292,6 +292,7 @@ services:
       - 'traefik.http.routers.rastroapicampo.rule=Host(`${CAMPO_DOMAIN}`) && PathPrefix(`/api`)'
       - traefik.http.routers.rastroapicampo.entryPoints=https
       - traefik.http.routers.rastroapicampo.tls=true
+      - traefik.http.routers.rastroapicampo.tls.certresolver=letsencrypt
       - traefik.http.routers.rastroapicampo.priority=1000
       - traefik.http.routers.rastroapicampo.service=rastroapi
   web:
@@ -341,6 +342,11 @@ services:
       - 'traefik.http.routers.rastrocampo.rule=Host(`${CAMPO_DOMAIN}`)'
       - traefik.http.routers.rastrocampo.entryPoints=https
       - traefik.http.routers.rastrocampo.tls=true
+      # SEM este resolvedor o Traefik serve o certificado interno dele ("TRAEFIK
+      # DEFAULT CERT") e o navegador recusa — comprovado: o roteador /api do Campo
+      # existia desde 18/09 só com `tls=true` e o domínio nunca ganhou certificado.
+      # `letsencrypt` é o nome do resolvedor que o Coolify cria.
+      - traefik.http.routers.rastrocampo.tls.certresolver=letsencrypt
       - traefik.http.routers.rastrocampo.priority=10
       - traefik.http.routers.rastrocampo.service=rastrocampo
       - traefik.http.services.rastrocampo.loadbalancer.server.port=39030