クライアントは early_data 拡張を送り、ClientHello の直後にデータを送信します。サーバーはそれを受け入れることも拒否することもできます。最初のフライトを傍受した攻撃者はそれをリプレイでき、場合によっては多くのサーバーに対しても行えるため、RFC 9846 §8 はリプレイ対策の仕組み（1 回限りのチケット、ClientHello の記録、鮮度の確認）を説明し、冪等なリクエストだけを受け入れることを推奨しています。
HTTP スタックは通常、GET のような安全なメソッドに限って 0-RTT を許可し、Early-Data: 1 とステータス 425 Too Early（RFC 8470）でそれを伝えます。早期データは、再開用の鍵に関しては前方秘匿性を持ちません。多くの運用環境では単に無効にしており、QUIC も同じ仕組みに対応しています。