تستخدم HTTP/1.1 وHTTP/2 وHTTP/3 عميل curl المضمّن نفسه. يستخدم macOS arm64 وLinux x64 الإصدارات curl 8.22.0 وOpenSSL 3.5.9 وnghttp2 1.70.0 وngtcp2 1.25.0 وnghttp3 1.18.0. ويستخدم Windows x64 البناء الثابت الرسمي curl-for-win 8.22.0_3 من curl.se مع LibreSSL 4.3.3 ومكتبات HTTP نفسها. لا حاجة إلى الرجوع إلى curl الخاص بالنظام ولا إلى تنزيل أثناء التشغيل ولا إلى صلاحيات المسؤول. وصفة البناء الأصلية القابلة لإعادة الإنتاج لـ Windows هي https://github.com/curl/curl-for-win/tree/9d77e31e .
ابنِ باستخدام python3 scripts/native/build.py (على Windows: python scripts/native/build.py) قبل التحزيم. يتطلب macOS/Linux أدوات C/C++ وCMake وNinja وPerl وmake وpkg-config. تُثبَّت المصادر حسب الإصدار وقيمة SHA-256 الأصلية في scripts/native/dependencies.lock.json. يتحقق السكربت من كل تنزيل، ويربط مكتبات النقل الخاصة بالأطراف الثالثة ربطًا ثابتًا، ويفشل عند غياب ميزات HTTP2/HTTP3/SSL. ولا تبقى ديناميكية إلا مكتبات نظام التشغيل. يستخدم Windows أرشيفًا ثنائيًا رسميًا مثبّت الإصدار، لا حزمة نقل لـ Windows مبنية محليًا. ولملف CA المضمّن قيمة تجزئة مثبّتة خاصة به؛ وترافق بيئة التشغيل تراخيص المكوّنات ومصدر البناء الأصلي.
يُثبَّت العميل ومخزن الثقة خارج app.asar في resources/native-runtime/<platform>-<arch>/. يتحقق كل تشخيص من تجزئات المكوّنات والبنية وقدرات الملف التنفيذي قبل الاستخدام. وتُستبعد ملفات الإعداد والوكلاء (proxies) وتجاوزات بيئة الثقة الخاصة بـ TLS ومتغيرات حقن المكتبات. يعمل curl بمسار مطلق، مع تعطيل الصدفة، وثقة CA متحقق منها، وعائلة IP محددة صراحةً، دون ملفات تعريف الارتباط ودون إعادة توجيه تلقائية، ومع مخرجات ووقت محدودين. يتحقق التطبيق من عمليات إعادة التوجيه ويعيد حلّها. ويُدعم HTTPS على منافذ غير 443.
يستخدم HTTP/3 الخيار --http3-only، ولا يُؤكَّد إلا بعد نقل مكتمل يُبلغ عن الإصدار 3 من HTTP وتحقق ناجح من الشهادة. ويمكن لاستجابات أخطاء HTTP مثل 404 أن تؤكد البروتوكول. Alt-Svc إعلان وليس دليلًا. وتبقى حالات انتهاء مهلة QUIC وفشل الشهادة وفشل DNS ورفض الاتصال وعدم توافق البروتوكول وفشل المكوّنات متمايزة. ويترك انتهاء مهلة UDP دعم الخادم غير متحقق منه. ولا يُبلغ عن توقيت مصافحة QUIC على أنه توقيت TCP.
يبدأ كل قياس عملية/اتصالًا منفصلًا. ولا يدّعي خيار warm إعادة استخدام الاتصال مع العميل المضمّن. وهذا يحافظ على اتساق مقارنات البروتوكولات. تتضمن التقارير إصدارات بيئة التشغيل والقدرات والتحقق من TLS وتوقيت QUIC، بينما يزيل السجل/التصدير المحتوى واستعلامات URL وترويسات المصادقة.
حدّث هذه القيم المثبّتة وأعد البناء لكل منصة مدعومة عند تحديث حزمة النقل أو مخزن ثقة CA. والملفات المنشورة ولقطات المصدر غير قابلة للتغيير.