HTTP/1.1, HTTP/2 và HTTP/3 dùng cùng một trình khách curl đi kèm. macOS arm64 và Linux x64 dùng curl 8.22.0, OpenSSL 3.5.9, nghttp2 1.70.0, ngtcp2 1.25.0 và nghttp3 1.18.0. Windows x64 dùng bản dựng tĩnh chính thức curl-for-win 8.22.0_3 của curl.se với LibreSSL 4.3.3 và cùng các thư viện HTTP. Không cần dự phòng sang curl của hệ thống, tải xuống trong lúc chạy hay quyền quản trị viên. Công thức dựng upstream có thể tái lập cho Windows là https://github.com/curl/curl-for-win/tree/9d77e31e .
Dựng bằng python3 scripts/native/build.py (Windows: python scripts/native/build.py) trước khi đóng gói. macOS/Linux cần công cụ C/C++, CMake, Ninja, Perl, make và pkg-config. Mã nguồn được ghim theo phiên bản và SHA-256 upstream trong scripts/native/dependencies.lock.json. Script xác minh mọi tệp tải xuống, liên kết tĩnh các thư viện truyền tải của bên thứ ba và thất bại nếu thiếu tính năng HTTP2/HTTP3/SSL. Chỉ các thư viện của hệ điều hành là vẫn liên kết động. Windows dùng tệp nén nhị phân chính thức đã ghim, không phải ngăn xếp truyền tải Windows được biên dịch cục bộ. Tệp CA đi kèm có hash được ghim riêng; giấy phép thành phần và nguồn gốc bản dựng upstream đi kèm runtime.
Trình khách và kho tin cậy được cài đặt bên ngoài app.asar tại resources/native-runtime/<platform>-<arch>/. Mỗi lần chẩn đoán đều xác minh hash thành phần, kiến trúc và khả năng của tệp thực thi trước khi sử dụng. Tệp cấu hình, proxy, biến môi trường ghi đè độ tin cậy TLS và biến chèn thư viện đều bị loại trừ. curl chạy với đường dẫn tuyệt đối, shell bị tắt, độ tin cậy CA đã xác minh, họ IP được xác định rõ ràng, không cookie, không tự động chuyển hướng, cùng đầu ra và thời gian có giới hạn. Các chuyển hướng được ứng dụng xác thực và phân giải lại. Hỗ trợ HTTPS trên các cổng khác 443.
HTTP/3 dùng --http3-only và chỉ được xác nhận sau khi một lần truyền hoàn tất báo cáo HTTP phiên bản 3 và xác minh chứng chỉ thành công. Phản hồi lỗi HTTP như 404 cũng có thể xác nhận giao thức. Alt-Svc là thông báo, không phải bằng chứng. Hết thời gian chờ QUIC, lỗi chứng chỉ, lỗi DNS, kết nối bị từ chối, giao thức không tương thích và lỗi thành phần vẫn được phân biệt. Hết thời gian chờ UDP khiến khả năng hỗ trợ của máy chủ vẫn chưa được xác minh. Thời gian bắt tay QUIC không được báo cáo như thời gian TCP.
Mỗi phép đo khởi tạo một tiến trình/kết nối riêng. Tùy chọn warm không khẳng định việc tái sử dụng kết nối đối với trình khách đi kèm. Điều này giữ cho việc so sánh giao thức nhất quán. Báo cáo bao gồm phiên bản runtime, khả năng, xác minh TLS và thời gian QUIC, còn lịch sử/bản xuất loại bỏ nội dung, truy vấn URL và header xác thực.
Hãy cập nhật các giá trị ghim này và dựng lại cho mọi nền tảng được hỗ trợ khi cập nhật ngăn xếp truyền tải hoặc kho tin cậy CA. Các tệp đã phát hành và ảnh chụp mã nguồn là bất biến.