O HTTPS é o protocolo HTTP sobre o protocolo SSL/TLS. A função do SSL/TLS é criar um canal de comunicações seguro pelo qual toda comunicação cliente/servidor será feita. Isso significa que:
- Independentemente do servidor utilizado, linguagem, etc, se o canal for estabelecido com sucesso a comunicação será confidencial (ninguém no meio poderá lê-la), íntegra (ninguém no meio poderá alterá-la) e autêntica (na outra ponta estará o servidor certo, e não um servidor fake).
- Ou seja, não é preciso alterar nada no código pra usar os recursos HTTPS, pois a proteção ocorre na camada de transporte e não na camada de aplicação.
- Somente os dados em trânsito estão protegidos - se houver por exemplo malware no cliente ou no servidor, ou ainda um ou outro for invadido por atacantes, eles poderiam potencialmente ler/alterar os dados, pois eles partem/chegam em formato plano.
Em particular pro HTTPS, temos que alguns dados são públicos por necessidade do próprio protocolo (ex.: a URL/IP, pois é preciso saber pra onde enviar cada pacote), mas todos os demais são privados (inclusive as query strings, os dados passados via POST, e todo o conteúdo do corpo da resposta).
Para uma visão geral do protocolo, sugiro a pergunta "Como o HTTPS (SSL) funciona?". No início da resposta eu falei que "se o canal for estabelecido com sucesso..." e de fato é muito importante estar atento às precondições para que isso ocorra, o que pode sim exigir certa configuração adicional no seu servidor. Em particular:
Use sempre um certificado de segurança válido: adquirido de uma Autoridade Certificadora confiável pelos browsers, dentro da validade, e cuja chave privada foi gerada por você e mantida sempre em sigilo. Sem isso, a autenticidade da comunicação poderia ficar comprometida.
Somente habilite no seu servidor suites de criptografia seguros. É muito comum a configuração default de vários servidores aceitarem algoritmos fracos caso o cliente não dê suporte aos mais fortes. E um protocolo fraco poderia potencialmente ser explorado e comprometer a confidencialidade e integridade da comunicação.
Como configurar corretamente varia de servidor para servidor, mas o site SSL Labs possui ferramentas úteis para ajudar a avaliar a qualidade da criptografia no seu servidor (e também no seu browser, mas o foco aqui é o servidor). Ele não só detecta potenciais problemas no seu certificado, como verifica quais protocolos estão habilitados no seu servidor e que não deveriam estar, e dá instruções de como desabilitá-los.
(veja por exemplo o resultado da análise pro meu site pessoal - que é só um blog comum, nada de muito sensível - eu ganhei um C rsrs)