Nova resposta à pergunta antiga, desculpe. Eu pensei em adicionar meus $ .02
O OP perguntou se os cabeçalhos estavam criptografados.
Eles são: em trânsito.
Eles NÃO são: quando não estão em trânsito.
Portanto, o URL do navegador (e o título, em alguns casos) pode exibir a sequência de consultas (que geralmente contém os detalhes mais sensíveis) e alguns detalhes no cabeçalho; o navegador conhece algumas informações de cabeçalho (tipo de conteúdo, unicode etc.); e o histórico do navegador, o gerenciamento de senhas, os favoritos / favoritos e as páginas em cache conterão a sequência de consultas. Os logs do servidor na extremidade remota também podem conter string de consulta, além de alguns detalhes do conteúdo.
Além disso, a URL nem sempre é segura: o domínio, o protocolo e a porta são visíveis - caso contrário, os roteadores não sabem para onde enviar suas solicitações.
Além disso, se você possui um proxy HTTP, o servidor proxy sabe o endereço, geralmente ele não conhece a cadeia de consulta completa.
Portanto, se os dados estão em movimento, geralmente estão protegidos. Se não estiver em trânsito, não será criptografado.
Para não escolher, mas os dados no final também são descriptografados e podem ser analisados, lidos, salvos, encaminhados ou descartados à vontade. E malware em cada extremidade pode tirar instantâneos de dados que entram (ou saem) do protocolo SSL - como Javascript (ruim) dentro de uma página dentro de HTTPS que pode fazer clandestinamente chamadas http (ou https) para sites de log (desde o acesso ao disco rígido local) geralmente é restrito e não é útil).
Além disso, os cookies também não são criptografados pelo protocolo HTTPS. Os desenvolvedores que desejam armazenar dados confidenciais em cookies (ou em qualquer outro lugar) precisam usar seu próprio mecanismo de criptografia.
Quanto ao cache, os navegadores mais modernos não armazenam em cache as páginas HTTPS, mas esse fato não é definido pelo protocolo HTTPS, é totalmente dependente do desenvolvedor de um navegador para garantir o cache das páginas recebidas por HTTPS.
Portanto, se você está preocupado com o cheiro de pacotes, provavelmente está bem. Mas se você está preocupado com malware ou alguém vasculhando seu histórico, favoritos, cookies ou cache, ainda não está fora de água.