Je ne suis pas d’accord ; https:// est un ensemble de caractères tellement rare que je pense que manipuler est généralement assez sûr.
(Sauf dans les blocs de code, il y a donc ceci, mais si le presse-papiers n’est QU’UNE URL, alors c’est tout à fait sûr selon moi. Donc si vous faisiez une ancre de “commence par https://”, je peux garantir à 99,99 % que ce sera sûr.)