以下均假设软件实现正常，操作系统未被侵入，没有装过来源不明的根证书（但不假设网络 /路由器是安全的）：
1. http 网站在 MITM (中间人) 攻击 / DNS 劫持的情况下有可能在你不注意的时候获取或篡改你的消息内容（包括但不限于偷取你的密码，cookie，登录凭证以伪造你身份，或者修改网页内容来钓鱼）。
2. https 网站下可能可以获知你所访问的是什么网站（ SNI ），但无法获取具体的网址或者内容。例如，攻击者可以知道你访问了
www.google.com 但不知道你具体搜索了什么，更无法获得你的账号。如果网站和浏览器使用的带 SNI 加密的新版 TLS 1.3 协议的话，连网站的域名都没法获得。
总体而言，**即使路由器被入侵，DNS 被劫持**，或者连接的是没有密码的刻意的**公共 Wi-Fi**，或者是来历不明的**代理服务器**，只要浏览器和操作系统没有被侵入，并且使用的是 **https 协议**，那么信息基本上是安全的。就算是运营商也没法获得你消息的内容。
有可能存在危险的情况：
1. 手动忽略了浏览器的证书不一致警告。
2. 安装了用来监听的软件 /浏览器。
3. 使用了还在用 http 协议的网站 /app。
4. 安装了来历不明的证书。
5. 打开网站是先打开 http 版本然后等待网站自动帮你跳转到 https 的。
关于降级攻击：不满足使用 https 协议这一条件，可以通过 HSTS (强制 https) 解决。
关于公共页面的 HTTP 的危险：攻击者可以通过篡改 HTTP 网页使得诱导到一个篡改过的 HTTP 登录页面（降级攻击）或者诱导到钓鱼网站等方式窃取用户信息。
以上内容均为我的个人理解。如有错误，烦请指正。