POST é idempotente por convenção de criação; PUT não é, por alterar recursos de forma variável.

GET pode alterar estado quando o cliente é autenticado, já que a autorização implicaria intenção de mudança.

PATCH é sempre idempotente, pois repetições não alteram o resultado.

PUT é idempotente e GET é seguro, independentemente de autenticação.

DELETE nunca é idempotente, porque deleções sucessivas geram respostas diferentes.