El cliente envía la extensión early_data y los datos justo después del ClientHello; el servidor puede aceptarlos o rechazarlos. Un atacante que capture el primer envío del cliente puede reproducirlo, quizá ante muchos servidores, por lo que el RFC 9846 §8 describe mecanismos contra la repetición (tickets de un solo uso, registro de ClientHello, comprobaciones de frescura) y recomienda aceptar solo solicitudes idempotentes.
Las pilas HTTP suelen permitir 0-RTT solo para métodos seguros como GET y lo señalizan con Early-Data: 1 y el estado 425 Too Early (RFC 8470). Los datos tempranos no tienen forward secrecy respecto a la clave de reanudación. Muchos despliegues simplemente lo desactivan; QUIC admite el mismo mecanismo.