> А если в роли атакующего будет хостинг провайдер?

а ему-то зачем? У него уже все твои юзеры, пароли и явки - в расшифрованном виде, после ssl-фронтенда. Хочет, твой код патчит, хочет прокси между ним и вебсервером ставит, а хочет - прямо из твоей базы в удобном интерфейсе запросом вынимает что ему надо. И ключ от твоего сертификата у него, в любом случае, есть, иначе он и подключить-то его не сможет.

проблема что оно ему-то обычно нахрен не надо - номер твоей кредитки ты же сам ему сообщил. Со всеми cvv и billing address. Но, почему-то, провайдеры редко убегают в туманную даль, попытавшись напоследок снять все денежки с карт клиентов.

да, в счастливые до-летрстрешовые времена мы, обычно, сертификаты оформляли вместо клиентов.
Поскольку там требовалось минимальное общение с CA, на которое те и способны-то не были.

Но оно может оказаться надо хакеру васе, который не пожалеет 15 долларов с (краденой) кредитки, чтобы влезть на тот же самый shared сервер, на котором сидишь и ты. И вот тут, внезапно, выясняется, что провайдер об этом должен был подумать, и специально для страдальцев-любителей на халяву, подстелить особой соломки.