Cache-Control ist eine kurze Kopfzeile mit einer langen Liste von Missverständnissen: no-cache heißt nicht „nicht speichern“, max-age=0 ist kein no-store, s-maxage spricht nur zu geteilten Caches, und ohne all das erfindet ein Browser eine Lebensdauer aus Last-Modified. Diese Prüfung ruft eine Adresse von diesem Server ab, rechnet die Frischedauer für einen Browser und für einen geteilten Cache so, wie RFC 9111 es tut, schickt dann eine Anfrage mit If-None-Match und eine mit If-Modified-Since, um zu sehen, ob die Validatoren wirklich funktionieren, und eine zweite normale Anfrage, um zu lesen, was ein Cache davor beim zweiten Mal tut.
Von diesem Server gehen Weiterleitungen und bis zu vier Anfragen von je höchstens 256 KB an die eingegebene Adresse. Hosts in privaten, Loopback- und Link-local-Netzen werden abgelehnt. Die Abfrage ist durch reCAPTCHA v3 geschützt; die aufrufende IP-Adresse und das Ziel werden eine Stunde lang gespeichert, um die Rate zu begrenzen.
Grenzen, die dazugehören: Geprüft wird nur eine der aufgelösten Adressen; ein CDN antwortet je Standort, der Cache-Status von hier kann anderswo abweichen; die zweite Anfrage folgt der ersten binnen Sekunden, was ein Cache mit Mindest-TTL anders behandeln kann als echten Verkehr; Kopfzeilen, die JavaScript oder Service Worker setzen, sind unsichtbar; und die heuristische Lebensdauer ist der Vorschlag des RFC von zehn Prozent, einzelne Browser haben eigene Regeln.