Ein Verbindungsaufbau über HTTPS ist nicht möglich.
korrekt, es geht nur HTTP. für ein fehlerfreies HTTPS bräuchte man theoretisch eine eigene Zertifizierungstelle (CA) im Haus, die hat vermutlich niemand 
Wäre eine MQTT-Kommunikation zwischen Homeassistant und Shelly auch unterschlüsselt?
korrekt, bei den Geräten der ersten Generation läuft die MQTT-Kommunikation unverschlüsselt. Shellies mit dem Zusatz "Pro" und "Plus" sind Geräte der 2. Generation, die können MQTT auch als Secure (also verschlüsselt), aber auch hier gilt: macht man es richtig braucht man eine CA. die Weboberfläche vom Shelly ist dann trotzdem noch unverschlüsselt (also http)
Ich bin auf dem Gebiet leider neu und kenne mich nicht wirklich aus - aber bedenklich finde ich es schon, wenn keine Verschlüsselung vorliegt.
Natürlich ist verschlüsselte Kommunikation immer schöner und sicherer, allerdings ist die Einrichtung auch entsprechend komplex und ein Großteil der Shelly Nutzer ist ja schon bei der manuellen Vergabe einer IP-Adresse überfordert. Wie soll man denen erklären, wie man eine CA aufsetzt, Zertifikatsanforderungen erstellt, diese dann mit der CA signiert, dann auf dem Client (Shelly importiert) ..
Sofern sich der Shelly aber Richtung Cloud bewegt ist die Kommuknikation mittels TLS 1.2 verschlüsselt, also da wo es problematisch würde ist entsprechende Sicherheit vorhanden.