Transporte e origem fechada
Cifrar o caminho e verificar quem participa dele são duas decisões distintas.
O papel da criptografia, da identidade dos pontos da conexão e de uma origem que só responde pelo caminho autorizado.
O que o TLS protege
TLS estabelece um canal cifrado entre dois pontos e autentica o servidor por certificados. Isso protege o conteúdo em trânsito contra leitura e alteração por intermediários fora da conexão autorizada.
O TLS protege o caminho. Quem pode acessar cada função e se o dado recebido é válido continuam sendo decisões da aplicação.
HTTPS precisa ser consistente
Redirecionar acessos para HTTPS evita que a navegação permaneça em texto aberto. HSTS permite ao navegador lembrar que o domínio deve ser acessado somente por conexão segura durante o período informado.
Uma política que inclui subdomínios exige que todos eles atendam por HTTPS válido, inclusive os usados apenas por ferramentas internas.
Origem fechada reduz caminhos alternativos
Em uma arquitetura com borda, existe uma conexão do visitante até a borda e outra da borda até a origem. Proteger apenas a primeira deixa um trecho relevante fora do mesmo nível de confiança.
Quando a origem valida o cliente autorizado, descobrir o endereço do servidor não basta para contornar a proteção pública: conexões fora do caminho aprovado não chegam à aplicação.