Geschützte Dateien dürfen nicht allein durch eine ausgeblendete Schaltfläche oder eine schwer zu erratende Adresse abgesichert werden. Bei jedem Abruf muss der Server prüfen, ob die Person angemeldet und für die konkrete Datei berechtigt ist.
Zusätzlich müssen direkter Dateizugriff, Zwischenspeicher und alte Links berücksichtigt werden. So bleibt der Schutz auch dann bestehen, wenn eine URL weitergegeben oder eine Berechtigung später entzogen wird.