Le client envoie l’extension early_data et les données immédiatement après le ClientHello ; le serveur peut les accepter ou les refuser. Un attaquant qui capture ce premier envoi peut le rejouer, éventuellement auprès de nombreux serveurs : la RFC 9846, §8, décrit donc des mécanismes anti-rejeu (tickets à usage unique, enregistrement des ClientHello, contrôles de fraîcheur) et recommande de n’accepter que des requêtes idempotentes.
Les piles HTTP n’autorisent généralement le 0-RTT que pour les méthodes sûres comme GET, et le signalent avec Early-Data: 1 et le statut 425 Too Early (RFC 8470). Les données anticipées ne bénéficient pas de la confidentialité persistante vis-à-vis de la clé de reprise. De nombreux déploiements le désactivent tout simplement ; QUIC prend en charge le même mécanisme.