тем что http - изначально делался для хранения (не передачи, там http, от которого вы его, похоже, с трудом отличаете) информации, читаемой человеком. Да, его делали на основании подвернувшегося под руку показавшегося удобным sgml, но мгновенно об этом забыли, как только практика показала, что strict sgml мешает работе на экране.

xml изначально делался непойми зачем, потом его попытались приспособить для хранения информации, обратите внимание - _не_ читаемой человеком и _не_ записываемой этим человеком, за исключением необходимости отладки/починки (в чем и выдавался за достижение по сравнению с каким-нибудь windows registry) - то и другое должны были делать роботы.
Для них, внезапно, оказался слишком сложен, избыточен и неудобен - в результате информацию об очередной уязвимости в xml2/xslt я не читая стираю - оно может быть либо обновленное сегодня, либо уязвимое, либо то и другое одновременно, а все кодошлепы бодро убежали на json, который хотя бы не требует парсера на гигабайт.