ne serait-ce que pour le login des user, il est tout a fait normal de présenter un certificat https valide !
également pour des raisons de meilleures indexations car googlepositionne mieux un site en https qu'un site en http (et ca ne fera que s'accentuer dans le futur) :
http://googlewebmastercentral.blogspot.be/2014/08/https-as-ranking-signal.html
perso, mon site est Full HTTPS, et cela permet egalement d'accelerer les requete multiple avec SPDY, qui fonctionne que avec le https, en attendant le support du http/2.0 par apache
Pour en revenir à la question :
les seuls certificats gratuit valide sont de startssl.com
autrement, faut payer une somme parfois consequente pour rien de plus chez les autres
dans tous les cas, il faut etre propriétaire d'un nom de domaine pour le faire ce qui est payant sauf un .tk (d'autre p-e aussi, mais en général, c'est payant, la gratuitté est rare)