Является ли метод POST безопасным?

По HTTP-семантике POST не относится к safe-методам: он может запрашивать изменение состояния. В смысле шифрования и защиты POST не безопаснее автоматически — нужны отдельные меры.

HTTPS защищает транспорт, авторизация — доступ, а валидация и CSRF-защита решают другие риски. Тело POST может оказаться в логах и не должно считаться тайным только из-за отсутствия в URL. Конкретный POST иногда выполняет чтение, но это не меняет общую семантическую классификацию метода. Не смешивайте safety и идемпотентность.