Votre certificat de site (+ clé privée) doit être traité comme tout certificat de site. Si quelqu'un parvenait à obtenir la clé privée, il pourrait se faire passer pour votre site web. Il y a peu de différence dans la manière dont vous devriez faire confiance au service d'hébergement pour un certificat émis par une AC commerciale.
Les risques sont atténués par le fait que, puisque vous avez créé votre propre AC, peu de personnes feront confiance à cette AC par défaut. Il s'agit d'un risque effectivement limité à ceux qui ont choisi de faire confiance à votre AC.
Il en va de même pour la clé privée de l'AC. Quelqu'un qui mettrait la main sur sa clé privée pourrait émettre n'importe quel certificat.
Les plus gros problèmes viennent du fait que les interfaces utilisateur ont tendance à traiter toutes les AC de confiance de manière équitable (sauf les certificats EV), ou très similaire si l'utilisateur ne fait pas attention. Par conséquent, si un attaquant (a) avait la clé privée de votre AC et (b) connaissait un utilisateur qui fait confiance à ce certificat AC ciblé, il pourrait créer un certificat valide pour n'importe quel site web.
Votre évaluation des risques devrait tenir compte de ceux qui accepteront de faire confiance à cette AC interne. Les AC commerciales ont tendance à avoir des politiques strictes concernant la protection de leurs clés privées (généralement, stockage non-extractible sur des cartes à puce ou similaire) : c'est souvent une exigence pour être approuvé pour inclusion dans la plupart des navigateurs.
Plus spécifiquement à propos des "autres informations". Il peut être important, lors de la conception d'une AC, d'avoir une politique concernant quels attributs et comment les DN du sujet sont structurés par exemple. J'ai connu certaines AC qui faisaient en sorte de ne jamais divulguer explicitement l'identité de l'utilisateur dans le certificat (qui est généralement public et souvent visible pendant le handshaking par un espion), donc le DN du sujet était juste un identifiant interne, connu de l'AC (et éventuellement lié à un nom réel entre le service et l'AC par un canal de rétrorelation chiffré ou un mécanisme similaire).
