Может ли файл побиться при передаче по https?

Я вот сейчас чужой код ревьюил, хотел сказать, что при скачивании по https проверка чексумм не нужна, потому что https гарантирует integrity.

А потом я задумался о том, что находится с той стороны https, и понял, что нет, таки нужна.

Причина простая: больше 50% вероятность, что где-то там, между SSL акселератором/прокси/ингрессом и бэкэндом http. И память, и диски, и чексуммы данных во всём этом никак и ничем не защищены (окей, окей, ip чексуммы, которые вообще-то не проверяются на localhost'е).

Чексумма, посчитанная при сборке артефакта, служит финальной проверкой для данных во всей цепочке передачи артефакта из системы сборки в хранилище, холодное/долгосрочное хранение на (non-)spinning rust, трансферы по SAS/SATA, возможный http между несколькими серверами и т.д. У всех у них микроскопическая вероятность, что их чексуммы проскочат, но как только одна подсистема пропустила испорченные данные, все последующие этому верят и "защищают" чексуммами уже битые данные, то есть вероятности складываются. И чем более сложная система с той стороны, тем больше этих вероятностей.

Ответ на вопрос из заголовка: файл не может побиться при передаче по https, но может побиться ДО передачи по https, так что проверяйте чексуммы, иначе могут быть странные сюрпризы.