En primer lugar, acerca de la distinción entre la clave y el certificado (en relación con "clave de CA"), hay 3 piezas utilizadas cuando se habla de certificados de clave pública (por lo general X. 509): la clave pública, la clave privada y el certificado. La clave pública y la clave privada forman un par. Puede firmar y descifrar con la clave privada, puede verificar (una firma) y encriptar con la clave pública. La clave pública está destinada a distribuirse, mientras que la clave privada debe mantenerse privada.
Un certificado de clave pública es la combinación entre una clave pública y varias piezas de información (principalmente sobre la identidad del propietario del par de claves, quienquiera que controle la clave privada), esta combinación se firma con la clave privada de el emisor del certificado. Un certificado X.509 tiene un nombre distinguido de sujeto y un nombre completo de emisor. El nombre del emisor es el nombre del sujeto del certificado de la entidad que emite el certificado. Los certificados autofirmados son un caso especial donde el emisor y el sujeto son los mismos. Al firmar el contenido de un certificado (es deciremitir el certificado), el emisor afirma su contenido, en particular, la vinculación entre la clave, la identidad (el sujeto) y los diversos atributos (que pueden indicar la intención o el alcance del uso del certificado).
Además de esto, la especificación PKIX define una extensión (parte de un certificado dado) que indica si un certificado se puede usar como un certificado CA, es decir, si se puede usar como un emisor para otro certificado.
A partir de esto, crea una cadena de certificados entre el certificado de entidad final (que es el que desea verificar, para un usuario o servidor) y un certificado de CA en el que confía. Puede haber certificados de CA intermedios (emitidos por otros certificados de CA) entre el certificado de entidad final de su servicio y el certificado de CA en el que confía. No se necesita estrictamente una CA raíz en la parte superior (un certificado de CA autofirmado), pero a menudo es el caso (puede optar por confiar directamente en un certificado CA intermedio si lo desea).
Para su caso de uso, si genera un certificado autofirmado para un servicio específico, no importa si tiene el indicador de CA (extensión de restricciones básicas). Necesitará que sea un certificado de CA para poder emitir otros certificados (si desea construir su propia PKI). Si el certificado que genera para este servicio es un certificado de CA, no debería causar ningún daño. Lo que más importa es la forma en que puede configurar su cliente para que confíe en ese certificado para este servidor en particular (los navegadores deberían permitirle hacer una excepción explícita con bastante facilidad, por ejemplo). Si el mecanismo de configuración sigue un modelo PKI (sin usar excepciones específicas), ya que no será necesario construir una cadena (con un solo certificado), usted debería poder importar el certificado directamente como parte de los anclajes de confianza de su cliente, ya sea un certificado de CA o no (pero esto puede depender del mecanismo de configuración del cliente).
Realmente una buena pregunta! –