Провайдер или любой другой узел на пути может видеть домен во время TLS-handshake. ESNI (ECH тоже) пока слабо распространен.