หลังจากงาน IETF-88 การโต้เถียงประเด็นความปลอดภัยของ HTTP 2.0 ยังคงไม่ได้ข้อสรุป โดยมีแนวทางสำคัญ การเข้ารหัสเท่าที่เป็นไปได้ และการบังคับเข้ารหัสเต็มรูปแบบ

กระบวนการเข้ารหัสเท่าที่เป็นไปได้ (opportunistic encryption) คือการเปิดให้เบราว์เซอร์พยายามเข้ารหัสก่อนเสมอ แม้จะไม่มีใบรับรองดิจิตอลเต็มรูปแบบก็ตาม เบราว์เซอร์ก็ยังยอมรับการเข้ารหัสกับเซิร์ฟเวอร์เหล่านี้ แต่จะแสดงผลกับผู้ใช้ว่ากำลังใช้งานเป็น HTTP และไม่แจ้งผู้ใช้ว่ากำลังเข้ารหัสอยู่

ปัญหาความปลอดภัยของ Adobe ที่ทำข้อมูลผู้ใช้และรหัสผ่านหลุดมาเป็นจำนวนมาก ยิ่งกว่านั้นรหัสผ่านเหล่านั้นยังไม่ได้แฮชค่าเอาไว้ ทำให้ผู้ใช้ตกในความเสี่ยงเป็นวงกว้าง ปัญหาสำคัญคือผู้ใช้หลายคนมักใช้รหัสผ่านเดียวกันในหลายบริการ ทำให้รหัสผ่านเหล่านี้อาจจะถูกใช้ซ้ำในบริการของเฟซบุ๊ก ทางเฟซบุ๊กจึงป้องกันไว้ก่อนด้วยการแจ้งเตือนให้ผู้ใช้ที่มีความเสี่ยงเปลี่ยนรหัสผ่านทันที

ค่าแฮช SHA-1 ถูกใช้งานมาตั้งแต่ปี 1995 โดยทั่วไปแล้วยังมีความแข็งแกร่งดี แต่งานวิจัยช่วงหลังๆ แสดงให้เห็นว่าการสร้างค่าที่ทำให้ค่าแฮชชนกันด้วย SHA-1 นั้นง่ายกว่าที่ออกแบบไว้อย่างมาก และมีความเสี่ยงที่จะถูกปลอมใบรับรองได้ทำให้ไมโครซอฟท์ออกมาประกาศแล้วว่าจะเลิกยอมรับใบรับรองที่เซ็นไว้ด้วย SHA-1

เมื่อปีที่แล้วมีงานวิจัยตีพิมพ์ออกมาว่าสามารถสร้างค่าแฮช SHA-1 ที่ชนกันได้ด้วยการคำนวณเพียง 2^61 รอบเท่านั้น แม้ค่าแฮชของ SHA-1 จะมีขนาดถึง 160 บิตก็ตาม