Nagłówki bezpieczeństwa łatwo ustawić i równie łatwo ustawić bezużytecznie. Content-Security-Policy dopuszczająca unsafe-inline jest obecna i wobec ataku, dla którego istnieje, nie wskóra nic. Tutaj odczytywane jest to, co adres naprawdę odsyła, i oceniany skutek, a nie samo istnienie.
Adres jest pobierany raz z tego serwera, zwykłym GET i bez cookies. Żądania do sieci prywatnych, do pętli zwrotnej i do adresów link-local są odrzucane, także przez przekierowania. Zapytanie chroni reCAPTCHA v3; wywołujący adres IP oraz cel są przechowywane przez godzinę w celu ograniczenia częstotliwości.