HTTP/1.1, HTTP/2 a HTTP/3 používají stejného přibaleného klienta curl. macOS arm64 a Linux x64 používají curl 8.22.0, OpenSSL 3.5.9, nghttp2 1.70.0, ngtcp2 1.25.0 a nghttp3 1.18.0. Windows x64 používá oficiální statické sestavení curl-for-win 8.22.0_3 z curl.se s LibreSSL 4.3.3 a stejnými knihovnami HTTP. Není potřeba žádný záložní systémový curl, stahování za běhu ani oprávnění správce. Reprodukovatelný postup sestavení pro Windows od autorů je https://github.com/curl/curl-for-win/tree/9d77e31e .
Před zabalením sestavte prostředí příkazem python3 scripts/native/build.py (Windows: python scripts/native/build.py). macOS/Linux vyžadují nástroje C/C++, CMake, Ninja, Perl, make a pkg-config. Zdroje jsou připnuty verzí a SHA-256 od autorů v scripts/native/dependencies.lock.json. Skript ověřuje každé stažení, staticky linkuje transportní knihovny třetích stran a selže, pokud chybí funkce HTTP2/HTTP3/SSL. Dynamické zůstávají pouze knihovny operačního systému. Windows používá připnutý oficiální binární archiv, nikoli lokálně zkompilovaný transportní stack pro Windows. Přibalený soubor CA má vlastní připnutý hash; licence komponent a původ sestavení od autorů jsou dodávány spolu s běhovým prostředím.
Klient a úložiště důvěryhodných certifikátů jsou nainstalovány mimo app.asar v resources/native-runtime/<platform>-<arch>/. Každá diagnostika před použitím ověří hashe komponent, architekturu a schopnosti spustitelného souboru. Konfigurační soubory, proxy, přepsání důvěry TLS z prostředí a proměnné pro vkládání knihoven jsou vyloučeny. curl běží s absolutní cestou, bez shellu, s ověřenou důvěrou CA, s výslovně určenou rodinou přeložené IP adresy, bez cookies, bez automatických přesměrování a s omezeným výstupem i časem. Přesměrování ověřuje a znovu překládá aplikace. HTTPS na jiných portech než 443 je podporováno.
HTTP/3 používá --http3-only a je potvrzeno teprve po dokončeném přenosu, který hlásí HTTP verze 3, a po úspěšném ověření certifikátu. Protokol mohou potvrdit i chybové odpovědi HTTP, například 404. Alt-Svc je pouze oznámení, nikoli důkaz. Časový limit QUIC, chyba certifikátu, chyba DNS, odmítnutí spojení, nekompatibilní protokol a selhání komponenty se rozlišují. Vypršení času UDP ponechává podporu na serveru neověřenou. Časování handshaku QUIC se nevykazuje jako časování TCP.
Každé měření spouští samostatný proces/spojení. Volba „warm“ u přibaleného klienta netvrdí opakované použití spojení. Díky tomu jsou srovnání protokolů konzistentní. Reporty obsahují verze běhového prostředí, schopnosti, ověření TLS a časování QUIC, zatímco historie a export odstraňují těla odpovědí, parametry URL a autentizační hlavičky.
Při aktualizaci transportního stacku nebo úložiště důvěryhodných certifikátů CA aktualizujte tato připnutí a znovu sestavte všechny podporované platformy. Publikované artefakty a snímky zdrojů jsou neměnné.