SSL защищает трафик между клиентом и сервером, а трафик - это не только передаваемые пользователем данные...
Сам лично столкнулся с такой вещью, когда непорядочные интернет-провайдеры вмешиваются в трафик своих пользователей и вставляют к примеру рекламу своих услуг (js файл с pop-up окном и др.) и такая "провайдерская фича" срабатывает на всех сайтах которые работают по протоколу http, т.е. те которые не защищены SSL.
После гневного звонка в тех. поддержку конечно устраняют такие явления без объяснения причин, но факт остается фактом... В гугле находил информацию, что такой ерундой занимаются иногда и крупные интернет провайдеры.
Покупать или нет сертификат, это на усмотрение, во всяком случае можно и бесплатный попробовать как писали выше, но и у некоторых бесплатных есть свои нюансы.
