Lo sé. Pero es posible que un atacante de intermediario utilice esa conexión HTTP iniciada por el navegador para añadir una cookie mediante HTTP. Más tarde, la cookie se envía desde el navegador a través de HTTPS, y el atacante de intermediario conoce la cookie de sesión.
Esto funciona. El estado HTTP (404, 301, 410, 500) no es relevante.
Eso
no es un problema. El favicon no es un enlace iniciado por el usuario; el usuario solo añade el enlace HTTP al sitio, sin HTTPS.
Solución sencilla: No mostrar vista previa si el destino es HTTP. Así, no será necesario cargar el favicon.