Какой сертификат выбрать
Для большинства сайтов достаточно DV-сертификата с проверкой домена, в том числе бесплатного. Wildcard покрывает поддомены одного уровня; несколько отдельных имён можно включить в SAN-сертификат. Выбор зависит от структуры проекта.
Установка — это не только выпуск
Нужно установить полную цепочку, настроить HTTPS, перенаправление с HTTP и убрать смешанный контент. Проверьте формы, внешние ресурсы и адреса в canonical и sitemap.xml.
Продление и контроль
Настройте автоматическое продление и отдельное уведомление об истечении. Проверяйте не только выпуск, но и применение нового сертификата сервером. Не включайте HSTS для всех поддоменов без проверки их готовности к HTTPS.
Если браузер пишет «Не защищено»
Причиной может быть истёкший сертификат, несовпадение имени, неполная цепочка или ресурсы по HTTP. Не просите посетителя обходить предупреждение: сначала исправьте причину.