1) Можно. Но лучше прописывать статически путь до каждого сертификата для каждого домена. Можно использовать переменную $server_name в пути до сертификата. Но если сертификата там не окажется, nginx не стартанет.
2)
Можно.
3)
Можно. Можно сделать хост дефолтным и тогда все домены, которые не были добавлены в server, будут смотреть туда, куда ведет дефолтный хост. То есть так, будто обратились по IP. Но тогда не будет работать SSL для них. Хотя, можно попробовать подхватывать динамически, см. п. 1.
Сделайте один wildcard сертификат для всех доменов. 100 доменов на один сертификат можно в LetsEncrypt повесить и если купить платный, то штук 240.