Безопасно ли общаться с локальным API с помощью http, когда общедоступной конечной точкой является https?

Контекст

У меня есть настройка сервера, которая выглядит так:

• Сервер Apache прослушивает пример.com;
• Публичный порт 80 перенаправляется на 443;
• Публичный порт 443 перенаправляется в проект Symfony;
• На этой же машине есть локальный сервер API, написанный на Rust, который слушает http://127.0.0.1:8030 (нет поддержки SSL/TLS);
• Локальный API может отвечать на некоторые конфиденциальные данные, такие как токены аутентификации JWT;
• https://example.com/api является прокси для локального сервера API (ПроксиПасс и ПроксиПассРеверс, см. конфигурацию Apache ниже), чтобы:
  • предоставить API конечному пользователю с поддержкой SSL/TLS,
  • и иметь возможность отправлять ему запросы XHR javascript с общедоступного веб-сайта Symfony.

Запись: я сделал эту настройку с прокси для локального API, потому что у меня было много проблем с правилами CORS; но Это нет предмет моего вопроса (я думаю, есть гораздо лучшие настройки).

Вопрос

Можно ли считать эту настройку безопасной или стоит добавить поддержку SSL/TLS для локального API?

Конфигурация Apache, немного упрощенная

<VirtualHost *:80>
   ServerName example.com
   Redirect / https://example.com
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com

    DirectoryIndex /index.php

    ProxyPass /api http://127.0.0.1:8030/
    ProxyPassReverse /api http://127.0.0.1:8030/

    SSLEngine on
    SSLProtocol -ALL +TLSv1.2 +TLSv1.3
    SSLCompression off
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    SSLCACertificateFile /etc/letsencrypt/live/example.com/fullchain.pem

    DocumentRoot /var/www/html/symfony_project/public
    <Directory /var/www/html/symfony_project/public>
        AllowOverride All
        Require all granted
        Allow from All
        FallbackResource /index.php
    </Directory>

    ErrorLog /var/log/apache2/symfony_project_error.log
    CustomLog /var/log/apache2/symfony_project_access.log combined
</VirtualHost>