Ce n’est pas le problème. Ce serait un bug du navigateur.
Un homme du milieu peut ajouter un cookie dans la connexion http://alohadentalgroup.com avec le domaine alohadentalgroup.com, en utilisant le nom connu d’un cookie de session (s’il existe, je n’ai pas vérifié cela) de ce domaine (et non du domaine du forum).
Si un utilisateur utilise ultérieurement la connexion de https://alohadentalgroup.com pour gérer ce domaine, ce cookie (créé via HTTP) est renvoyé via HTTPS.
C’est une fonctionnalité critique (et souvent méconnue) des cookies.
C’est l’une des raisons pour lesquelles les préfixes de cookies sont créés. Pour les cookies commençant par __Secure- ou __Host-, HTTPS est requis. Ainsi, cela ne devient plus possible. Il en va de même pour Preload (mais la plupart des sites n’utilisent pas HSTS et ne sont pas préchargés).
Voir (2017)
ou d’autres liens.
PS : Mon outil « vérifiez votre site web » (voir mon profil) contient une page avec quelques exemples et une petite démo. Un cookie créé via HTTP et renvoyé via HTTPS. Via HTTP, il n’est pas possible (avec un navigateur moderne) de créer un cookie __Host-. Mais les cookies avec préfixe sont rares.