Нет, конечно, не можешь ты трафик посмотреть, tls всюду же всегда и закрытая сетка.
Только если есть доступ к исходникам клиента (или сервера) , типа браузера.

Внутри между сервисами вполне можно гонять данные по открытому http и заодно экономить на шифровании/дешифровке.

Нет, конечно нельзя. Внутри пода в крайнем случае, да и то не рекомендуется.

Гонять внутри данные по http - это как-то совсем если данные никому не нужны, но мне даже сложно придумать такой продукт )

Компания подрядчик просит сделать так, чтобы UTM метки, которые они указывают в рекламных компаниях при переходе на сайт сохранялись в строке браузера и при переходе по страницам.

К примеру, шаги:
1. Пользователь переходит на сайт по рекламе в соц. сети, ссылка содержит UTM метки
2. Открывается сайт, в строке браузера есть UTM метки
3. Далее пользователь переходит в каталог товаров из него в карточку товара и т. д. до оформления заказа

Вот они просят, чтобы на шаге 3 при переходе по всем этим страницам UTM метки сохранялись.

Я попросил аргументировать такое требование, ответа не получил.

Поиск информации по этой теме даёт явно понять, что в Google Analytics и Яндекс.Метрике есть специальные отчеты которые можно построить по UTM-меткам без вот того, что они просят.

Кто-то может подтвердить необходимость такого запроса (сохранения UTM-меток по всему перемещению по сайту)?

Первый раз такое требование встречаю.

Паттерны же не из воздуха берутся. Есть проблема, решали так, так, и так. Второй вариант оказался удачнее, подтюнили, получилось совсем хорошо. Сказали: "а давайте так делать всегда", и написали документацию. Вот и получился паттерн. Не понимаю, в чём отличие от привычки.

Привычка - это не как лучше, а как удобнее и быстрее, чтобы не напрягать мозг

Угу. Но в таком подходе REST - это не паттерны. Там нет ничего про "удачнее", есть идеальная концепция, из которой вырос "недостандарт". А потому уже (по не понятной причине) этот подход стали активно использовать невзирая на неудобство и кучу костылей.

Но у нас вообще индустрия обычно тянет в рот самые худшие из возможных решений.

Не понимаю. Я помню, что ты делаешь что-то, где есть финансовые вычисления, но вообще мир полон приложений типа "смотри, какой смешной видос". Какие там данные надо защищать внутри моего VPN бэкенда?

Открытая внутренняя сеть позволяет собирать данные по пользователям (а она так или иначе по ПДН), про статистику сервиса и прочие коммерческие данные (сколько реальных просмотров), вмешиваться в статистику (если нет tls, то кто угодно может менять трафик).
Так что открытая сеть внутри требует очень конкретного обоснования "а почему нам так надо".

куки выставляются при заходе на сайт с utm метками, далее по кукам отслеживаются действия пользователя, строится аналитика.

ПДН обычно концентрируются внутри конечного количества сервисов, типа сервиса авторизации/аутентификации. Его можно ssl закрыть при желании какого-нибудь органа сертификации (но у этого органа скорее всего будет намного больше куда более существенных желаний). А что кто-то кому-то лайк поставил - кто и как это будет собирать? Если кто-то в моей стойке в ДЦ поставил сниффер трафика, у меня проблема намного больше, чем защита информации о лайках.

Мой пароль и почтовый ящик как пользователя?

Эээ, какое отношение ПДН имеют к автризации-аутентификации.
( И если аутентификация еще может быть в отдельном сервисе, то авторизация - нет).
Как можно не закрыть аутентификацию tls - у меня в голове вообще не умещается, это ты серьезно?
А уж ценность "кто кому лайк поставил" ты зря недоцениваешь, это вообще основной источник доходов этих сервисов зачастую.

Каким образом куки попадают в метрику (яндекс, гугл)?

И что делать если на сайте есть и другие утм-метки? Допустим баннеры, клики по которым в этом случае будут перетирать утм-метки полученные при переходе по рекламе.

Кстати, если у тебя нарушен подход к работе с ПДН, то никто не будет заморачиваться с сертификацией, штрафанут на несколько процентов оборота и все.

Аутентификация закрывается SSL по дороге от внешнего клиента до пограничного балансера.

Ну дважаскрипт скрипты метрик(яндекс и гугол) прикручены к страницам твоего сайта. Они и делают всю грязную работу.

Эээ, каким образом это хоть как-то защищает от снифинга паролей изнутри сети?