Der Client sendet die Erweiterung early_data und die Daten direkt nach dem ClientHello; der Server kann sie annehmen oder ablehnen. Ein Angreifer, der den ersten Flight mitschneidet, kann ihn erneut einspielen, womöglich bei vielen Servern; deshalb beschreibt RFC 9846 §8 Mechanismen gegen Replays (Einmal-Tickets, Aufzeichnen von ClientHello-Nachrichten, Frische-Prüfungen) und empfiehlt, nur idempotente Anfragen anzunehmen.
HTTP-Stacks erlauben 0-RTT meist nur für sichere Methoden wie GET und signalisieren es mit Early-Data: 1 und dem Statuscode 425 Too Early (RFC 8470). Early Data hat in Bezug auf den Schlüssel der Sitzungswiederaufnahme keine Forward Secrecy. Viele Installationen deaktivieren 0-RTT einfach; QUIC unterstützt denselben Mechanismus.