Конечно не уверен.
Сейчас у меня больше вопросов чем ответов.
Почему у клиентов на Питоне, spyMQTT, mosquitto требуется ca.crt, а esp12 хватает только логин и пароль?
Почему сгенерированные сертификаты для клиентов не проходят проверку?
Для дальнейшего анализа вероятно надо Wireshark, но думаю...