Das Attestierungsobjekt enthält fmt, attStmt und die Authenticator-Daten. WebAuthn Level 3 definiert die Formate packed, tpm, android-key, android-safetynet (veraltet), fido-u2f, apple, none und compound. Die Relying Party fordert die Attestierung mit der Option attestation an (none, indirect, direct oder enterprise); Standard ist none, und Verbraucherplattformen mit synchronisierten Passkeys liefern meist keine Attestierung und eine AAGUID aus lauter Nullen.
Eine Attestierung zu prüfen heißt: die Signatur der Aussage über die Authenticator-Daten und den Hash der Client-Daten prüfen, die Zertifikatskette der Attestierung gegen Root-Zertifikate aus dem FIDO Metadata Service oder vom Hersteller validieren und die AAGUID abgleichen. Das lohnt sich für Unternehmensumgebungen und Einsätze mit hohem Sicherheitsniveau, die nur zertifizierte Hardware zulassen dürfen; bei der Anmeldung von Endkunden bringt es Reibung und Kosten für die Privatsphäre bei geringem Nutzen.
„Attestierung“ taucht auch anderswo mit derselben Idee einer signierten Aussage über einen Schlüssel oder ein Artefakt auf: Schlüsselattestierung bei TPM und Android, PIV-Attestierung bei YubiKey und Attestierungen in der Software-Lieferkette (in-toto, SLSA-Provenance).