Клиент отправляет расширение early_data и данные сразу после ClientHello; сервер может принять их или отклонить. Атакующий, перехвативший первую серию сообщений, может воспроизвести её повторно, в том числе на многих серверах, поэтому RFC 9846, § 8 описывает механизмы защиты от повторного воспроизведения (одноразовые билеты, запись ClientHello, проверки свежести) и рекомендует принимать только идемпотентные запросы.
HTTP-стеки обычно разрешают 0-RTT только для безопасных методов, например GET, и сообщают о нём заголовком Early-Data: 1 и статусом 425 Too Early (RFC 8470). У ранних данных нет прямой секретности относительно ключа возобновления. Во многих развёртываниях 0-RTT просто отключают; QUIC поддерживает тот же механизм.