Уже обсуждалось, что умные DPI, выуживающие имя хоста из полей SNI/SAN до установки шифрованного соединения, могут быть одурачены, если сервер будет принимать любые (или заданные) имена доменов при соединении по TLS, а осмысленно обрабатывать только хост в HTTP-запросе.

Так вот, зуб даю, что в Cloudflare уже есть код, который реагирует на ?superdupersecretstringinparameters, чтобы при запросе к любому ничего не подозревающему hotasianbabes.porn встраивать в него JS-кейлоггер, позволяющий незаметно набрать и отправить «КАМРАД КОЛОНЭЛ, МЭЙДЖОР ПЕТРОВ РЕПОРТИНГ ИН», и их достаточно будет попросить конвертировать его для гражданских нужд.