In den attestierten Credential-Daten steht die AAGUID direkt nach den Flags und dem Signaturzähler, vor der Länge der Credential-ID. Hardwareschlüssel melden die AAGUID ihres Modells; auch Passwortmanager und Plattform-Authenticators veröffentlichen ihre eigene (von der Community gepflegte Listen ordnen sie Namen wie iCloud-Schlüsselbund oder Google Passwortmanager zu). Lautet die Attestierung none, liefern viele Plattformen nur Nullen.
Ohne geprüfte Attestierung ist die AAGUID nur eine Angabe des Clients und lässt sich fälschen. Nutze sie daher für die Anzeige („angemeldet mit deinem YubiKey 5“) und für Analysen, nicht für Zugriffsentscheidungen; um Richtlinien durchzusetzen, prüfe die Attestierung gegen den FIDO Metadata Service. Der AAGUID-Lookup ordnet Werte den Authenticator-Modellen zu.