Die Relying Party fordert ein solches Credential mit residentKey: "required" (oder preferred) in authenticatorSelection an; bei der Anmeldung ruft sie get mit einer leeren Liste allowCredentials auf und erhält mit der Assertion das userHandle. Passkeys sind per Definition auffindbar (discoverable), und Conditional Mediation (mediation: "conditional") zeigt sie in der Autofill-Liste des Browsers.
Nicht auffindbare Credentials (das U2F-Modell) halten den privaten Schlüssel per Key Wrapping in der Credential-ID, die der Server speichert; so können Sicherheitsschlüssel beliebig viele Websites unterstützen, aber zuerst muss ein Benutzername eingegeben werden. Discoverable Credentials belegen begrenzten Speicher auf Sicherheitsschlüsseln und lassen sich dort auflisten und löschen; Manager für synchronisierte Passkeys haben keine solche Grenze.