Нужно ли шифровать траффик web приложения?
Если нужно, то только в каком-то очень узком наборе случаев.
Даже Vault в своём UI не заморачивается с дополнительным шифрованием.
Даже банки и прочие PCI dss сертифицированные системы не добавляют второй слой шифрования.

Единственный случай, когда я наблюдал шифрование поверх https - это EDI over HTTPS.
Но там шифрование не само по себе "для дополнительной безопасности", а как часть EDI, который обычно по нешифрованным каналам типа SMTP или FTP передаётся.
Если нужно, то только в каком-то очень узком наборе случаев.
Даже Vault в своём UI не заморачивается с дополнительным шифрованием.
Даже банки и прочие PCI dss сертифицированные системы не добавляют второй слой шифрования.

Единственный случай, когда я наблюдал шифрование поверх https - это EDI over HTTPS.
Но там шифрование не само по себе "для дополнительной безопасности", а как часть EDI, который обычно по нешифрованным каналам типа SMTP или FTP передаётся.