Sogar

Muss ich get_theme_mod('url') / ('mail') mit esc_url entkommen??
Ja, das tust du. Auch wenn Sie den Wert beim Speichern bereinigt haben, sollten Sie bei der Ausgabe immer mit Escapezeichen versehen....