WebAuthn unterscheidet die Benutzeranwesenheit (UP, eine Berührung oder ein Klick, der beweist, dass jemand da ist) von der Benutzerverifizierung (UV, die beweist, wer es ist). Die Relying Party fordert sie mit userVerification: "required", "preferred" (Standard) oder "discouraged" an und muss das UV-Flag (Bit 2) selbst prüfen, wenn sie sich darauf verlässt; ein Credential, das mit UV verwendet wird, ist nach der Terminologie des NIST ein Multi-Faktor-Authenticator, weil es den Besitz des Schlüssels mit einer PIN oder Biometrie kombiniert.
Biometrie oder PIN verlassen das Gerät nie; der Server erfährt nur, dass eine Verifizierung stattgefunden hat. Fallstrick: preferred anfordern und dann jede Assertion als Zwei-Faktor-Anmeldung behandeln, obwohl manche Authenticators (ältere Sicherheitsschlüssel ohne gesetzte PIN) UV = 0 zurückgeben.