Что могут сделать хакеры, узнав ключи сертификата от сайта, SSL, HTTPS?

Не, это можно сказать, никак не взаимосвязано. Например, вы сгенерировали сертификат и кинули его вместе с ключом в корень сайта. А какой-то сканер-бот скачал. Или отправили его в какой-нибудь онлайн сервис для конвертации в другой формат, например. Как минимум, он стал доступен этому сервису, а то и вообще утёк оттуда куда-то дальше. Это всё без участия логинов-паролей и других credentials.

Это только кажется. Поскольку до логина и пароля ещё нужно добраться.
И вообще, основной смысл установки SSL-сертификатов для подавляющего большинства сайтов - это пресечь вставку рекламы от провайдеров, а никакая не безопасность. О безопасности имеет смысл говорить там, где крутятся большие деньги - например, в банковских сервисах. А выуживать логины/пароли от сайтов-бложиков никто таким способом не будет - игра не стоит свеч.

И что с того? Вы так говорите, что можно подумать всяким сайтам не бложикам надо заморачиваться как-то с безопасностью, хотя непонятно даже в чем там заморочки. Всего-то надо простые рекомендации выполнять.

А всяким мелким сайтам что делать? Специально не выполнять эти простейшие рекомендации?

Безопасностью надо всем заниматься. Но с пониманием того, что и для чего делается, и какие могут быть последствия в случае невыполнения определённых требований.

Вы сами себе же противоречите.

Остальным что делать, где не крутятся большие деньги?