Wie funktioniert eine HTTPS Verschlüsselung?

Das Zertifikat wird nur auf dem Server eingesetzt der die Dienste bereitstellt.
Stellt der Client eine Verbindung zum SSL geschützten Server her vergewissert sich der Client nach der ersten Anfrage zuerst ob er dem öffentlichen Teil des Zertifikats welchen der Server an den Client ausliefert vertraut, er schaut also ob der Hash der CA in seinen vertrauenswürdigen Zertifizierungsstellen enthalten ist und ob der Common Name dem angesprochenen Domainnamen entspricht und ob die Gültigkeit noch nicht abgelaufen ist. Ist das der Fall handeln Server und Client einen sicheren Kanal aus über den dann sämtliche Daten dieser Session verschlüsselt übertragen werden, solange bis einer von beiden die Session beendet.

Abhören bzw. Daten im Klartext lesen kann man nur dann wenn jemand im Besitz des privaten Schlüssels des Zertifikats ist. Deswegen muss dieser immer bestmöglich geschützt werden.
Wenn man also das Zertifikat auf dem Produktivserver importiert sollte man niemals den privaten Key als Exportierbar markieren. Er ist zwar zusätzlich durch ein Passwort geschützt, trotzdem sollte man diese Maßnahme immer befolgen.

Gegen ManInTheMiddle Atacken bei der ein Angreifer ein manipuliertes SSL Zertifikat an den Client ausliefert schützt zusätzlich PublicKeyPinning und HSTS auf dem Server. Dann akzeptieren Clients nur noch ganz bestimmte Zertifikate und keine illegal von anderen CAs ausgestellte Fake-Zertifikate.
Wenn du einen eigenen Client einsetzt musst du diese Verifikation natürlich selbst implementieren.

Gruß