Przeciwdziałanie OWASP zaleca obronę wielowarstwową, prowadzoną równolegle na poziomie aplikacji i sieci. W warstwie aplikacji należy weryfikować wszystkie dane pochodzące od użytkownika, wymuszać schemat, port i adres docelowy według listy dozwolonych wartości, nie odsyłać klientowi surowej odpowiedzi otrzymanej z serwera docelowego oraz wyłączyć podążanie za przekierowaniami HTTP. W warstwie sieci zaleca się wydzielenie funkcji pobierania zasobów zdalnych do osobnego segmentu i takie skonfigurowanie zapory, by domyślnie odrzucała cały ruch poza niezbędnym.
OWASP odradza natomiast opieranie ochrony na liście blokowanych adresów, ponieważ napastnicy dysponują gotowymi technikami obchodzenia takich filtrów. Aplikacja musiałaby bowiem rozpoznać wszystkie adresy prywatne, adresy pętli zwrotnej i adresy link-local w obu wersjach protokołu IP. Dlatego arkusz OWASP poświęcony zapobieganiu SSRF radzi nie przyjmować od użytkownika całego adresu URL, lecz wyłącznie nazwę domeny albo adres IP, porównać otrzymaną wartość z listą dozwolonych i zbudować żądanie