подменить сертификаты так, чтоб об этом не узнали вы, практически невозможно, разве что если вы троян на пк получите, либо сами добавите сертификат как доверенный.
не зря браузеры говорят, что «злоумышленники могут перехватить пароли и номера банковских карт», если вдруг с сертификатом что-то не так.
если никакой подмены не будет, то естественно, впн ничего о данных карты не узнает, но только если https будет 100%. советую поставить расширение вроде «https-everywhere».
Что видит простой провайдер, когда я захожу на сайт по https, всю строку url или только доменное имя?
увидит только лишь домен и то только если в браузере не включен так называемый «dns over TLS»