Se você usa SSL, mas não usa HSTS (e nem HPKP) você permite que um atacante faça um downgrade para HTTP.
Ter SSL, sem HSTS, é o mesmo que nada. Você não pode ligar o HSTS (e nem HKPK), isto quebrará o acesso as páginas em HTTP.
A ausência desses recurso permite que páginas HTTPS irem para HTTP. O atacante pode fazer isso e ignorar completamente o SSL.
Se você estiver carregando script
ou img
em HTTP e sem o uso do SRI e sem CSP, você permite que o atacante modifique o conteúdo. Mas, isso é irrelevante, porque ele já pode modificar toda a página. Considerando que o atacante faça algum DNS Poisoning ou ARP Poisoning, por exemplo.
Se você tiver um subdomínio seguro, como seguro.site.com
, você tem que a segurar que este usa HSTS, no minimo.
Isso ainda tem outros problema. Por exemplo, você deve habilitar o "secure" no cookie, afim de que o cookie não vá para a área insegura, além de restringir ele para o subdomínio. Caso contrário, se torna possível roubar as sessões, quando o usuário entrar na área insegura. Isso ignorando a possibilidade um Session Fixation, definindo um cookie na área insegura para ser usado na área segura.
Fora privacidade. Agora, o provedor sabe qual site ele acessou e qual informação ele obteve, por estar em HTTP. Se estivesse em HTTPS (e com o HSTS Preload) somente o IP seria obtido, o nem mesmo garante qual site foi acessado.