Je le sais. Mais il est possible qu’un homme du milieu utilise une connexion HTTP initiée par le navigateur pour ajouter un cookie via HTTP. Plus tard, le cookie est envoyé par le navigateur via HTTPS, et l’homme du milieu connaît le cookie de session.
Cela fonctionne. Le statut HTTP (404, 301, 410, 500) n’est pas pertinent.
Ce n’est pas
un problème. Le favicon n’est pas un lien initié par l’utilisateur ; l’utilisateur ajoute uniquement le lien HTTP vers le site sans HTTPS.
Solution simple : Pas d’aperçu si la destination est en HTTP. Ainsi, il n’est pas nécessaire de charger le favicon.