Что видно в рукопожатии TLS 1.3
В TLS 1.3 после ServerHello всё шифруется, включая сертификат сервера. Открытыми остаются версия, набор шифров, расширения ClientHello и, как правило, SNI.
Расширение Encrypted Client Hello прячет и SNI, но пока поддерживается не везде, и от размещения за общим фронтом зависит больше, чем от настроек сервера.