¿Qué partes de la solicitud HTTP se cifran y cuáles permanecen abiertas al usar HTTPS? Por ejemplo, ¿se cifra la URL, los encabezados, el cuerpo de la solicitud?

При использовании HTTPS весь HTTP-трафик шифруется внутри TLS-сессии, что обеспечивает конфиденциальность и целостность данных.

Что шифруется:

• Полный URL, включая путь и параметры запроса (например, /api/data?user=123).
• Все HTTP-заголовки (например, Authorization, Content-Type).
• Тело запроса и тела ответа.

Что остаётся открытым:

• IP-адрес сервера, к которому устанавливается соединение.
• Доменное имя (например, example.com), так как оно передаётся в процессе установления TLS-соединения (SNI — Server Name Indication).

Таким образом, злоумышленник, перехватывающий трафик, видит только, к какому серверу вы подключаетесь, но не видит конкретные запросы, заголовки или данные, которые передаются внутри HTTPS-сессии.