Resposta final em HTTPS (sem loop http→http)

Por que importa

Loops de redirect em HTTP acabam entregando payloads sensíveis sem criptografia.

Como corrigir

Configure um redirect 301 de `http://` para `https://` com destino canônico.

Verificar a correção

curl -sIL http://seu-app.com | grep -i ^location

Referências

• MDN — HTTP headers
• OWASP Secure Headers Project