Безопасно ставить шрифты с открытой лицензией OFL или Apache 2.0 - это Google Fonts, семейства PT от ПараТайпа и отдельные гарнитуры вроде Inter, Manrope, Golos Text. У них лицензия прямо разрешает коммерческое использование без отчислений. Архивы с сайтов вида "1000 бесплатных шрифтов" под эту категорию не попадают: там лицензии либо нет, либо она не проверена.
Проблема не в самом шрифте, а в лицензии, которая к нему прилагается. Одна и та же гарнитура может продаваться платно и при этом где-то лежать бесплатно - разница в правах на конкретный файл. Перед установкой откройте архив: рядом с файлами шрифта должен лежать текст лицензии, OFL.txt или похожий. Нет файла - не ставьте, замена найдётся всегда.
Для кириллицы рабочий короткий список: Inter и Manrope для интерфейса и текста, Golos Text - рисовался под русский язык и ровно ведёт себя в мелком кегле, PT Sans и PT Serif от ПараТайпа как пара гротеск плюс антиква. Проверяйте не только наличие русских букв, но и их качество - иногда кириллицу дорисовывали наспех, и буквы к, ж, з выглядят чужими рядом с латиницей.
На сайт кладите не больше двух семейств - одно для заголовков, одно для текста, третье почти всегда лишнее и просто замедляет загрузку. Файлы лучше разместить на своём хостинге в формате woff2 и подключить через @font-face с font-display: swap, а не тянуть с чужого сервера Google - так страница грузится быстрее и не зависит от доступности стороннего домена.