HTTP/1.1, HTTP/2, dan HTTP/3 menggunakan klien curl bawaan yang sama. macOS arm64 dan Linux x64 menggunakan curl 8.22.0, OpenSSL 3.5.9, nghttp2 1.70.0, ngtcp2 1.25.0, dan nghttp3 1.18.0. Windows x64 menggunakan build statis resmi curl-for-win 8.22.0_3 dari curl.se dengan LibreSSL 4.3.3 dan pustaka HTTP yang sama. Tidak diperlukan fallback ke curl sistem, unduhan saat runtime, atau izin administrator. Resep build upstream Windows yang dapat direproduksi ada di https://github.com/curl/curl-for-win/tree/9d77e31e .
Lakukan build dengan python3 scripts/native/build.py (Windows: python scripts/native/build.py) sebelum pengemasan. macOS/Linux memerlukan alat C/C++, CMake, Ninja, Perl, make, dan pkg-config. Sumber dipatok berdasarkan versi dan SHA-256 upstream di scripts/native/dependencies.lock.json. Skrip memverifikasi setiap unduhan, menautkan pustaka transport pihak ketiga secara statis, dan gagal jika fitur HTTP2/HTTP3/SSL tidak ada. Hanya pustaka sistem operasi yang tetap dinamis. Windows menggunakan arsip biner resmi yang dipatok, bukan tumpukan transport Windows yang dikompilasi secara lokal. File CA bawaan memiliki hash yang dipatok tersendiri; lisensi komponen dan asal build upstream disertakan bersama runtime.
Klien dan penyimpanan kepercayaan diinstal di luar app.asar di resources/native-runtime/<platform>-<arch>/. Setiap diagnostik memverifikasi hash komponen, arsitektur, dan kemampuan executable sebelum digunakan. File konfigurasi, proxy, penggantian lingkungan untuk kepercayaan TLS, dan variabel injeksi pustaka dikecualikan. curl berjalan dengan jalur absolut, shell dinonaktifkan, kepercayaan CA terverifikasi, keluarga IP yang ditentukan secara eksplisit, tanpa cookie, tanpa pengalihan otomatis, serta dengan keluaran dan waktu yang dibatasi. Pengalihan divalidasi dan di-resolve ulang oleh aplikasi. HTTPS pada port selain 443 didukung.
HTTP/3 menggunakan --http3-only dan hanya dikonfirmasi setelah transfer selesai dengan melaporkan HTTP versi 3 dan verifikasi sertifikat yang berhasil. Respons kesalahan HTTP seperti 404 dapat mengonfirmasi protokol tersebut. Alt-Svc adalah pengumuman, bukan bukti. Batas waktu QUIC, kegagalan sertifikat, kegagalan DNS, koneksi ditolak, protokol tidak kompatibel, dan kegagalan komponen tetap dibedakan. Batas waktu UDP membuat dukungan server tetap belum terverifikasi. Waktu handshake QUIC tidak dilaporkan sebagai waktu TCP.
Setiap pengukuran memulai proses/koneksi terpisah. Opsi warm tidak mengklaim penggunaan ulang koneksi untuk klien bawaan. Hal ini menjaga perbandingan protokol tetap konsisten. Laporan mencakup versi runtime, kemampuan, verifikasi TLS, dan waktu QUIC, sedangkan riwayat/ekspor menghapus isi, kueri URL, dan header autentikasi.
Perbarui nilai patokan ini dan lakukan build ulang untuk setiap platform yang didukung saat memperbarui tumpukan transport atau penyimpanan kepercayaan CA. Artefak yang diterbitkan dan cuplikan sumber bersifat tetap.