Это уязвимо по нескольким причинам. Злоумышленник может просто использовать SSLStrip , чтобы удалить логин https и MITM пароль.
Кроме того, почему вы просто используете HTTPS для входа в систему? Его следует использовать в течение всей жизни сеанса или его полностью и совершенно бесполезно. Вы нарушаете OWASP A9, и это может быть использовано с Firesheep .