Eu sei. Mas é possível que um homem do meio use essa conexão HTTP iniciada pelo navegador para adicionar um cookie via HTTP. Mais tarde, o cookie é enviado do navegador via HTTPS — e o homem do meio conhece o cookie de sessão.
Isso funciona. O status HTTP (404, 301, 410, 500) não é relevante.
Isso é
não é um problema. O favicon não é um link iniciado pelo usuário; o usuário adiciona apenas o link HTTP ao site, sem HTTPS.
Solução simples: Sem pré-visualização se o destino for HTTP. Assim, não será necessário carregar o favicon.