Es stehen eine Reihe von Sicherheitsmaßnahmen zur Verfügung, um das WebReports-Scripting möglichst sicher zu gestalten:
Falls nicht erforderlich, kann die gesamte Funktion global durch den Content Server-Administrator deaktiviert werden. Benutzer sollten vor Verwendung der Funktion Ihren Administrator fragen, ob diese aktiviert ist.
Auch wenn die Funktion global aktiviert ist, muss sie nach dem Hinzufügen einer neuen Version der Berichtsansicht zum WebReport für jeden einzelnen WebReport aktiviert werden, der die Funktion verwendet. Jeder Benutzer, der einen WebReport erstellen darf, kann Tags zur Definition und Abfrage von Skripten einfügen. Die Tags werden jedoch erst aktiviert, nachdem das Scripting für den Bericht von einem Systemadministrator geprüft und aktiviert wurde. Deaktivierte Berichte werden ausgeführt, Skripte jedoch ignoriert und nicht ausgeführt.
Die in OScript verfügbaren Funktionen sind standardmäßig stark eingeschränkt. So kann z. B. auf globale Variablen oder viele der in Builder integrierten Pakete wie CAPI, DAPI, File usw. möglicherweise nicht zugegriffen werden. Der Content Server kann festlegen, welche Komponenten verfügbar sind.