Ich auch.
Stimmt. Und wenn es ein Reverse-Proxy ist, dann ist er für die HTTPS-Terminierung verantwortlich.
Aber es könnte eine Konfiguration sein, bei der localhost über den Hostnamen eine Verbindung zum Server herstellen darf, aber sonst niemand. Oder DNS gibt lokal die richtige Adresse zurück oder das echte DNS nicht. Oder sie umgehen den Test, weil er so nervig ist, dass sie nicht weitermachen können.