Для защищенного соединения нужны серверный и клиентский сертификаты или достаточно одного?

Для обычного HTTPS клиент проверяет серверный сертификат, а собственный клиентский сертификат обычно не нужен. При mTLS сертификатами аутентифицируются обе стороны.

Сервер должен иметь не только сертификат, но и соответствующий приватный ключ; клиенту нужна доверенная цепочка и проверка имени хоста. Пользовательская авторизация поверх HTTPS может выполняться паролем, токеном или другим механизмом. mTLS добавляет проверку клиентского сертификата, но не заменяет правила доступа к конкретным ресурсам. Сам факт шифрования канала не означает, что клиент авторизован выполнять любую операцию. Конкретную схему выбирают по модели доверия.