Почему пишут, что сайт не защищен?

Чаще всего причина в смешанном содержимом (mixed content): страница открывается по HTTPS, но часть картинок, скриптов или стилей на ней всё ещё загружается по старому http-адресу, и браузер честно предупреждает об этом, хотя сам сертификат может быть в полном порядке. Проверить это можно в консоли разработчика браузера (клавиша F12), вкладка «Console» обычно прямо перечисляет такие адреса.

Другая частая причина — сертификат физически есть, но выписан не на тот адрес, который открывает посетитель. Например, сертификат оформлен на www.сайт.ru, а сайт при этом открывается без www, или наоборот. Проверить это можно, кликнув на значок замка или его отсутствие рядом с адресной строкой — браузер покажет, для какого домена выдан сертификат и до какой даты он действует.

Ещё вариант — в настройках самой CMS адрес сайта до сих пор указан как http, а не https. В WordPress это поля «Адрес сайта (URL)» и «Адрес WordPress (URL)» в разделе Настройки — Общие: если там остался http, часть внутренних ссылок и редиректов ведёт на незащищённую версию, даже когда сертификат подключён правильно.

Быстрая проверка на стороне: вставьте домен в сервис ssllabs.com/ssltest — он покажет и срок действия сертификата, и для каких доменов он выписан, и явные ошибки конфигурации, если они есть.