Zu den CTAP2-Befehlen gehören authenticatorMakeCredential, authenticatorGetAssertion, authenticatorGetInfo, authenticatorClientPIN (mit den PIN/UV-Auth-Protokollen), die Verwaltung von Credentials und die Speicherung großer Blobs. CTAP1 ist das ältere U2F-Nachrichtenformat, das aus Kompatibilitätsgründen erhalten bleibt. CTAP 2.2 (Juli 2025) brachte die Details des hybriden Transports und neue Erweiterungen, und CTAP 2.3 (Proposed Standard, Februar 2026) ist die aktuelle Basis für Zertifizierungen.
Mit dem hybriden Transport (früher caBLE) dient ein Smartphone als Authenticator für einen Computer in der Nähe: Der Computer zeigt einen QR-Code, die Geräte prüfen die Nähe über Bluetooth Low Energy, und die CTAP-Nachrichten laufen Ende-zu-Ende verschlüsselt über ein Cloud-Relay. In der Webentwicklung begegnet dir CTAP selten; wichtig ist es für Hersteller von Authenticators, für die Entwicklung von Browsern und Betriebssystemen und für alle, die Fehler bei Sicherheitsschlüsseln mit Tools wie libfido2 untersuchen.