Es werden Passworte übertragen. Das sollte nie ohne Verschlüsselung geschehen, da es sonst abgefangen werden könnte. Daher sollte HTTPS der einzige Weg für den Zugriff auf diese Platform sein. HTTP sollte automatisch auf HTTPS umleiten.
Stellt euch mal vor, jemand käme an das Passwort von Alvar Freude und könnte sich an seiner Stelle einloggen...