По моему опыту использования nfqws без хостлиста для http в какой-то момент перестали открываться whoer.net и rutracker.org
На одном из провайдеров, которыми я пользуюсь, по той же схеме отвалился instagram.
Решилось добавлением этих сайтов в отдельных хостлист и внесением соответстующего правила в конфиг.

Внимание, вопросы к знатокам:
То, что я не включаю дурение по HTTP для остальных посещаемых мной сайтов повышает “видимость” того, что идет траффик на них?
Как я понимаю ТСПУ видит в этом случае SNI заголовок с адресом сайта при соединении по HTTP. То есть, грубо говоря, это лишний раз палит мои действия на коробке?

Надо ли переживать по этому поводу и просто сразу закинуть все блокируемые по HTTPS
сайты и в хостлист HTTP или можно ждать точечных блокировок по HTTP и уже после принимать меры, как в вышеописанной ситуации?

Не хочется лишний раз привлекать внимание в свете заявлений властей о том, что будут отслеживать пользователей запрещенного контента. Ищу правильный подход, чтобы минимизировать риски.

указанные вами сайты открываются по https, стратегии меняйте и оба сайта на клоудфларе, тут есть тема там есть решение

Хм, и давно whoer блокнули? Действительно, не открывается…

А, все понял, он юзает CF ECH блокнутый

whoer ещё до ECH блокнули из-за их VPN. Кстати, он не за ECH, хоть и на Cloudflare.

Сейчас все, что мне нужно, у меня работает.

Вопрос не в настройке nfqws, а теоретический больше.
Если, допустим, сайт по какой-то причине мне не ведомой грузит что-то по HTTP и nfqws не настроен дурить траффик к нему по HTTP, то не является ли это “дырой”, через которую ТСПУ будет видеть обращение к этому сайту, и исходя из чего провайдер может подкручивать ТСПУ конкретно для него. (Т.е. включать блокировку по HTTP плюс к блокировке по HTTPS, что сломает сайт, так как он что-то грузит по HTTP).

Естественно не зашифрованный трафик http будет заметнее если он не будет покромсан в кашу, да и то.
Я давно заблокировал 80 порт. И в браузерах есть настройка - Включить режим Только HTTPS во всех окнах. И в запрете можно убрать фильтр по 80 порту, а если без него не открывает сайт который по https может работать значит у вас хреновая стратегия, вот и вернулись к началу.

Https сайтам запрещено подгружать http контент, так уже давно во всех браузерах