Os certificados .key e .crt dão acesso à API da sua conta no Inter. Quem tiver os dois arquivos e as credenciais pode emitir cobranças em seu nome.
Onde guardar
Numa pasta do servidor fora da pasta pública do site. Ex.: o site fica em /home/loja/public_html e os certificados em /home/loja/certificados. O campo mostra o começo do caminho do seu servidor, em "Começa com".
Hospedagem sem pasta privada
Coloque o conteúdo dos certificados no wp-config.php. Assim não há arquivo pra baixar. Veja Configurar certificados pelo wp-config.php.
Se precisar deixar dentro do site
Proteja a pasta pra não ser lida pelo navegador. No Apache, um .htaccess dentro dela com:
Require all denied
No Nginx, peça à hospedagem um bloqueio da pasta. Depois teste abrindo o endereço do arquivo no navegador: tem que dar erro 403 ou 404.