Вот что у меня на тестовом на котором выходит 100-100-90-100 по ssl'у в конфиге nginx'а(даю все связанное, что бы ты мог посмотреть на свое и сравнить)

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_early_data on;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;

ssl_conf_command Ciphersuites TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384;
ssl_conf_command CipherString ECDHE-RSA-AES256-GCM-SHA384;

ssl_stapling on;
ssl_stapling_verify on;
resolver 127.0.1.1 valid=60s;

А в /etc/letsencrypt/cli.ini у меня

rsa-key-size = 4096

было дописано перед тем как перевыпустить сегодня досрочно сертификаты.

P.S. Думаю про резолвер пояснять не нужно, если уж ты пытаешься разобраться :)