Lo so. Ma è possibile che un uomo nel mezzo utilizzi una connessione HTTP avviata dal browser per aggiungere un cookie tramite HTTP. In seguito, il cookie viene inviato dal browser tramite HTTPS e l’uomo nel mezzo conosce il cookie di sessione.
Funziona. Lo stato HTTP (404, 301, 410, 500) non è rilevante.
Questo è
non è un problema. Il favicon non è un link avviato dall’utente; l’utente aggiunge solo il link HTTP al sito senza HTTPS.
Soluzione semplice: Nessuna anteprima se la destinazione è HTTP. In tal caso, non è necessario caricare il favicon.