In effetti non posso avere la certezza che i dati che invio da software abbiano la stessa "formattazione" di un post inviato da IE ma non so se ci siano alternative o modi per scoprirlo. Da IE ho un p.d.c. che fa le stesse cose del software in fase di sviluppo, quindi ho preso l'action del form e l'ho inserito come URL nel method POST di Delphi e stessa cosa per i valori da inviare (creando una serie di stringhe composte da "nomevariabile=valore"). Effettivamente non so se il POST invia i dati in questo modo quindi sicurezza non ne ho ma non saprei nemmeno come verificare.

Per quanto riguarda "%KEY_F1" che hai visto nell'indirizzo non è un problema, la maggiorparte delle chiamate sono così; è stato sviluppato in questo modo volontariamente. Ti ricordo che non si tratta di pagine HTML "standard" interpretate da un server "normale" ma create ad hoc e quindi il PC che farà da server è stato istruito appositamente con un firmware personalizzato che accetta questo tipo di chiamate e risponde di conseguenza. In realtà non è proprio un server e nemmeno esattamente un PC, tecnicamente lo è a tutti gli effetti visto che ha lo stesso hardware di base di un PC e come OS monta Linux ma visto esternamente, del PC non ha assolutamente niente.