WebAuthn ist die API, die eine Website im Browser aufruft; CTAP beschreibt, wie Browser oder Betriebssystem mit einem externen Authenticator über USB, NFC oder Bluetooth kommunizieren oder über den hybriden Transport mit einem Smartphone. Plattform-Authenticators (Windows Hello, Touch ID, Android) werden über APIs des Betriebssystems angesprochen und brauchen auf der Leitung kein CTAP.
CTAP 2.2 erschien im Juli 2025, CTAP 2.3 wurde im Februar 2026 zum Proposed Standard; FIDO2-Zertifizierungen werden inzwischen auf Basis von CTAP 2.3 erteilt. CTAP1 ist das ältere U2F-Protokoll, das FIDO2-Sicherheitsschlüssel aus Gründen der Abwärtskompatibilität weiterhin unterstützen. Wer serverseitig entwickelt, kommt selten direkt mit CTAP in Berührung: Implementiert wird die WebAuthn-Prüfung auf Seite der Relying Party, und alle Authenticators werden gleich behandelt.