طبّق allow/deny واضحًا على الشبكات الداخلية وmetadata endpoints، أعد التحقق بعد DNS resolution والredirects، وحدد البروتوكولات المسموحة والحجم والوقت، ولا تسمح بتحويل الأداة إلى proxy عام غير مقيد.