si, nel senso che chi si vuole intrufolare tra il client e il server con https trova tutto cifrato. Ovviamente questo non vuol dire che in querystring ci devi passare la password in chiaro dell'utente...