Я знаю. Но возможно, что человек посередине использует такое инициированное браузером HTTP-соединение, чтобы добавить cookie через HTTP. Позже этот cookie отправляется браузером через HTTPS — и человек посередине знает сессионный cookie.
Это работает. HTTP-статус (404, 301, 410, 500) не имеет значения.
Это
не является проблемой. Favicon — это не ссылка, инициированная пользователем; пользователь добавляет только HTTP-ссылку на сайт без HTTPS.
Простое решение: не показывать превью, если адрес назначения — HTTP. Тогда не потребуется загружать favicon.