Även

Måste jag fly get_theme_mod ('url') / ('mail') med esc_url?
Ja det gör du. Även om du har desinficerat värdet när du sparar det, bör du alltid komma undan vid utdata....