> Или при этом сам сквид не лезет в https трафик, а видит лишь доменное имя?

Именно так.

> но при этом если пользователю будет разрешен туда доступ то, когда он зайдет трафик расшифровать, как при ssl_bump будет невозможно?

Да. Ибо он заходит методом connect. После установки соединения все команды передаются уже зашифрованными.

> Кривой так как самоподписанный?

Да.

Ищите опции, отвечающие за использование сертификата прокси при работе с сайтами. Его передачу сайтам нужно отключить.