Зачем нужны HTTPS и HSTS и что такое mixed content?

HTTPS шифрует трафик между браузером и сервером и подтверждает подлинность сайта сертификатом. Без него данные видит любой узел на пути.

HSTS

Заголовок Strict-Transport-Security велит браузеру общаться с доменом только по HTTPS в течение заданного срока, даже если пользователь ввёл http://. Он защищает от атаки с понижением до HTTP.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Mixed content

Страница по HTTPS, которая загружает ресурсы по HTTP (картинку, скрипт). Браузеры блокируют активный смешанный контент (скрипты) и предупреждают о пассивном (картинки). Лечится заменой ссылок на HTTPS или директивой upgrade-insecure-requests в CSP.

Коротко для собеседования

HTTPS шифрует и аутентифицирует, HSTS не даёт откатиться на HTTP, а mixed content нужно исключать, иначе защита страницы нарушается.