Certifikáty jsou veřejně dostupná věc, takže riziko z pohledu důvěrnosti v zásadě žádné.
https://crt.sh/?Identity=upce.cz&exclude=expired
Ale hádám mluvíte spíš o privátních klíčích, ideálně by neměly opustit ten device kde se používají (k tomu jsou signing requesty), ale ne vždy to jde.