Например, когда undertow работает как обратный прокси, завершение tls происходит не на стороне обратного прокси, а на стороне внутреннего сервера.
обратный прокси не имеет никакого сертификата ипросто отвечает за маршрутизацию трафика на один из внутренних серверов на основе заголовка SNI.