Как исключить возможность взлома на сайте?
1) Зря ли вообще переживает клиент?
Кто ж его знает? Может, у него паранойя, и его сайт, на самом деле, нахрен никому не упал. И ходить туда будут полтора поисковых бота в месяц, и всё.2) Есть ли необходимость в https?
В HTTPS необходимость всегда есть. Независимо от.3) Правильно ли я понимаю, что в данном случае все зависит от безопасности хостера? 
Если прям всё-всё статикой -- то да.4) Посоветуйте, если Вам известны, хорошие хостеры, способные обеспечить безопасность и высокую нагрузку на страничку.
VPS-ку приобретайте у флагманов отрасли (Крок, Даталайн, Селектел), и настраивайте её как положено. За основу можете взять CIS benchmark. Они же (CIS) раздают уже преднастроенные образы для Амазона, например.
Если у вас только фронт, то взломать могут только вэб-сервер хостера, который отдает эти странички. Тут уж вопрос к нему. Не встречал ещё ни одного хостера, который дал бы 100%-ную гарантию от взлома.