Se compran, te los tiene que instalar tu hosting y luego tú lo tienes que activar poniendo el correspondiente código en el archivo .htaccess
El más reconocido es el de verisign, pero cuesta una pasta. Yo en alguna web he puesto rapidSSL, que es más económico y está bastante bien.