השימוש בהחלפת מפתחות inband יכול להיות מאוד בעייתי. היוצרים לא משקיעים מספיק זמן כדי להבטיח שהמפתחות מועברים כהלכה. העברה חריגה יכולה להיות סכימה, שבה נשלח מפתח B בתור Ea(B). המשמעות היא, שמפתח B שמחליף את מפתח A, לא יכול להישלח ע"י שימוש במפתח A כדי לקודד אותו. אם תוקף פצח את מפתח A, אז יהיה לו גם את מפתח B, ושינוי המפתחות הוא בזבוז זמן. הטעות הזו בדיוק נעשתה לעתים תכופות ע"י היפנים במהלך מלחמת העולם השנייה. לצפות ממתכנתים ללמוד מהטעויות האלו של אחרים (בייחוד לאחר כל כך הרבה שנים) היא הימור רע.

SHTTP, מתוך גמישות, יכולה להציע למתכנת מספיק חבל כדי לתלות את עצמם. יש להודות, היא לא מציעה יותר מדי אפשרויות שבורות, אבל כנראה שאין לה משהו כמו גישת "Encrypt everything and don't sweat it" של SSL. מתכנת, בייחוד כזה לא מכיר את סוגיות האבטחה וההצפנה, עלול לחשוב ש"שימוש ב-SHTTP יגן עלי", ויכשל לחלוטין בסיפוק הגנות הצפנתיות כלשהן למידע שלו. הסבירות שזה יקרה, אולי מוטלת בספק, אבל הבעיה שווה התייחסות.