Что могут сделать хакеры, узнав ключи сертификата от сайта, SSL, HTTPS?

Например, те, к кому сертификат попадёт, смогут расшифровать данные, которые поступают от пользователей на ваш сайт, зашифрованные публичным ключом. Само собой эти данные тоже должны как-то попасть к злоумышленникам, но пренебрегать этими рекомендациями точно не стоит.

если у вас сайт не уровня сбера, то ничего не произойдет и ничем не грозит.

Никому  не нужна. И хакерам в последнюю очередь.

Да никто не пренебрегает, просто интересно что могут сделать, расшифруют данные пользователей, единственные данные там левые адреса электронной почты посетителей, оставивших свои комментарии.

Получив эти ключи, я даже сомневаюсь, что их можно просто использовать на другом домене, т.к. сертифицированный центр выдачи сертификатов их через записи домена проверяет что он ваш, наверное, это как-то связанно.

Можно подделать "удостоверение домена", установив сертификат на свой хост и подсунув юзеру его левый ip-шник A-записи домена с какого-нибудь "ненадежного", "своего" dns-сервера. Например, через файл hosts, контролируемый провайдерский dns, непосредственно в ns сервера домена или вроде того. Ну и, как уже сказали, если есть возможность перехватить трафик юзера, имея сертификат - можно его расшифровать. Выудить, например, пароль - как это было и есть при обычном http.

Для абсолютного большинства сайтов и их юзеров, даже если ключ уйдет не просто злоумышленникам, но даже в паблик - ничего страшного не произойдёт.

Ты не понимаешь, как это работает. То, что оставлено, уже "ушло". Сертификат нужен только для расшифровки информации в процессе её передачи.

Доступ к сайту или домену они могут получить, используя эти ключи или только перехватывать и расшифровывать данные трафика моего сайта, пользовательские данные?

Могут. Если твой трафик перехватят, найдут в расшифрованном трафике логин и пароль к нему, то зайдут на сайт под твоим паролем администратора. Да даже можно без паролей, в принципе. Куки же тоже передаются. Подставят твои куки, где произведен логин под админом без привязки к айпи и даже пароль не надо. Единственное условие остается перехватить трафик.

Простое знание ключей никакому хакеру ничего не даст, никаких доступов. Данные они смогут получить, только если перехватят трафик.

Я не большой спец по безопасности, но мне кажется, что если кто-добрался до приватного ключа шифрования, о логине и пароле уже нет смысла спрашивать. Поправьте, кто в этом разбирается.