LANだろうが外部からだろうが、HTTPSで暗号化はするべきだな。
HTTP/2にも対応できるし、Let's Encryptなんてもんがあるのに使わない手はない。
最近、これでサブドメインでもワイルドカードの証明書を作ることができるのを知った。
明示的にサブドメイン指定した証明書でも作れるけど、それだと公開鍵調べれば
ほかにどんなサイトがあるか丸わかりになってしまうから嫌だったんだよな。