O cliente envia a extensão early_data e os dados logo depois do ClientHello; o servidor pode aceitá-los ou rejeitá-los. Um atacante que capture a primeira leva de mensagens pode reenviá-la, possivelmente para muitos servidores, por isso a RFC 9846 §8 descreve mecanismos contra repetição (tickets de uso único, registro do ClientHello, verificações de atualidade) e recomenda aceitar apenas requisições idempotentes.
As pilhas HTTP costumam permitir 0-RTT só para métodos seguros, como GET, e sinalizam isso com Early-Data: 1 e o status 425 Too Early (RFC 8470). Os dados antecipados não têm forward secrecy em relação à chave de retomada. Muitas implantações simplesmente desativam o recurso; o QUIC oferece suporte ao mesmo mecanismo.