בעקרון הכל תלוי בשימוש, זה טיפשי לעשות לדוגמא מערכת צ'ט, כך שהלקוח מתשאל כל כמה שניות את השרת עם AJAX, השרת יפול ממש מהר (עם מספיק יוזרים).
אז כמובן שהכי טוב לעשות במקרה הזה, זה אם יש לשרת הודעה להעביר למישהו, הוא דוחף לו את ההודעה.

מבחינת אבטחה, לא חושב שיש משמעות לעובדה שהסוקט פתוח או שהתבצעה רק בקשה.
אני בטוח שהשרת לא יכול לדחוף נגיד קבצי EXE ללקוח, בלי שהוא יסכים להורידם...

תקן אותי אם אני טועה, ואתה מדבר על משהו אחר.

למידע נוסף, דוגמא ממש טובה לעבודה עם Websockets ב-HTML5...