То, что можно получить доступ к uc.site.ru/RA - это вполне нормально, в этом каталоге лежит описание SOAP функций ИВП ЦР, а непосредственно проверка прав доступа происходит уже внутри этих функций, по сертификату клиента из двухсторонней TLS сессии. А вот то что uc.site.ru/CA находится в общем доступе - это нарушение требований безопасности, т.к. к ЦС должен быть изолирован и к нему доступ может иметь только ЦР.