Ich weiß. Aber es ist möglich, dass ein Man-in-the-Middle eine solche vom Browser initiierte HTTP-Verbindung nutzt, um ein Cookie über HTTP hinzuzufügen. Später wird das Cookie vom Browser über HTTPS gesendet – und der Man-in-the-Middle kennt das Sitzungs-Cookie.
Das funktioniert. Der HTTP-Status (404, 301, 410, 500) ist irrelevant.
Das ist
kein Problem. Das Favicon ist kein vom Nutzer initiierteter Link; der Nutzer fügt lediglich den HTTP-Link zur Seite ohne HTTPS hinzu.
Einfache Lösung: Keine Vorschau, wenn das Ziel HTTP ist. Dann muss das Favicon nicht geladen werden.