Có an toàn khi nói chuyện với API cục bộ bằng http không, khi điểm cuối công khai là https?

Bối cảnh

Tôi có một thiết lập máy chủ trông như thế này:

• Một máy chủ Apache đang lắng nghe ví dụ.com;
• cổng công cộng 80 được chuyển hướng đến 443;
• cổng công cộng 443 được chuyển tiếp đến một dự án Symfony;
• Trên cùng một máy, có một máy chủ API cục bộ được viết bằng Rust đang lắng nghe http://127.0.0.1:8030 (không hỗ trợ SSL/TLS);
• API cục bộ có thể phản hồi một số dữ liệu nhạy cảm, như mã thông báo xác thực JWT;
• https://example.com/api là một proxy cho máy chủ API cục bộ (ProxyPass và ProxyPassĐảo ngược, xem cấu hình Apache bên dưới), để:
  • hiển thị API cho người dùng cuối có hỗ trợ SSL/TLS,
  • và để có thể gửi các yêu cầu javascript XHR tới nó, từ trang web Symfony công khai.

Ghi chú: Tôi đã thực hiện thiết lập này bằng proxy cho API cục bộ vì tôi gặp nhiều rắc rối với quy tắc CORS; nhưng đây là không phải chủ đề của câu hỏi của tôi (tôi đoán có rất nhiều thiết lập tốt hơn nhiều).

Câu hỏi

Thiết lập này có thể được coi là an toàn hay nên bổ sung hỗ trợ SSL/TLS cho API cục bộ?

Cấu hình Apache, đơn giản hóa một chút

<VirtualHost *:80>
   ServerName example.com
   Redirect / https://example.com
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com

    DirectoryIndex /index.php

    ProxyPass /api http://127.0.0.1:8030/
    ProxyPassReverse /api http://127.0.0.1:8030/

    SSLEngine on
    SSLProtocol -ALL +TLSv1.2 +TLSv1.3
    SSLCompression off
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    SSLCACertificateFile /etc/letsencrypt/live/example.com/fullchain.pem

    DocumentRoot /var/www/html/symfony_project/public
    <Directory /var/www/html/symfony_project/public>
        AllowOverride All
        Require all granted
        Allow from All
        FallbackResource /index.php
    </Directory>

    ErrorLog /var/log/apache2/symfony_project_error.log
    CustomLog /var/log/apache2/symfony_project_access.log combined
</VirtualHost>