A POST é idempotente por convenção de criação; PUT não é, por alterar recursos de forma variável.
B GET pode alterar estado quando o cliente é autenticado, já que a autorização implicaria intenção de mudança.
C PATCH é sempre idempotente, pois repetições não alteram o resultado.
D PUT é idempotente e GET é seguro, independentemente de autenticação.
E DELETE nunca é idempotente, porque deleções sucessivas geram respostas diferentes.