При использовании HTTPS какие части HTTP-запроса шифруются, а какие остаются открытыми? Например, шифруется ли URL, заголовки, тело запроса?

При использовании HTTPS весь HTTP-трафик шифруется внутри TLS-сессии, что обеспечивает конфиденциальность и целостность данных.

Что шифруется:

• Полный URL, включая путь и параметры запроса (например, /api/data?user=123).
• Все HTTP-заголовки (например, Authorization, Content-Type).
• Тело запроса и тела ответа.

Что остаётся открытым:

• IP-адрес сервера, к которому устанавливается соединение.
• Доменное имя (например, example.com), так как оно передаётся в процессе установления TLS-соединения (SNI — Server Name Indication).

Таким образом, злоумышленник, перехватывающий трафик, видит только, к какому серверу вы подключаетесь, но не видит конкретные запросы, заголовки или данные, которые передаются внутри HTTPS-сессии.