Non so cosa sia curl ma uno sniffer in ogni caso non vede "password=valore", quindi da questo punto di vista sei sicuro.