Plattform-Authenticators (Windows Hello, Touch ID und Face ID von Apple, die Displaysperre von Android) werden über APIs des Betriebssystems angesprochen; portable Authenticators (Roaming-Authenticators: Sicherheitsschlüssel wie YubiKey oder Titan oder ein Smartphone über den Hybrid-Transport) sprechen CTAP über USB, NFC oder Bluetooth. Credential-Manager wie iCloud-Schlüsselbund, Google Passwortmanager oder 1Password dienen als Authenticators für synchronisierte Passkeys.
Die Fähigkeiten unterscheiden sich: Methode der Benutzerverifizierung (biometrisch, PIN), Speichergrenzen für Discoverable Credentials auf Sicherheitsschlüsseln (oft 25 bis einige Hundert), unterstützte Algorithmen (ES256 fast überall, EdDSA auf vielen Schlüsseln) und Attestierung. Die Flags der Authenticator-Daten sagen der Relying Party, was passiert ist (Benutzer anwesend, Benutzer verifiziert, Backup-fähig, gesichert).