El objeto de atestación contiene fmt, attStmt y los datos del autenticador. WebAuthn Level 3 define los formatos packed, tpm, android-key, android-safetynet (obsoleto), fido-u2f, apple, none y compound. La relying party solicita la atestación con la opción attestation (none, indirect, direct o enterprise); el valor predeterminado es none, y las plataformas de consumo con llaves de acceso sincronizadas no suelen devolver atestación y dan un AAGUID de todo ceros.
Verificar la atestación consiste en comprobar la firma de la declaración sobre los datos del autenticador y el hash de los datos del cliente, validar la cadena de certificados de atestación con las raíces del servicio de metadatos de FIDO o del fabricante, y comprobar que el AAGUID coincide. Es útil en despliegues empresariales y de alta seguridad que deben admitir solo hardware certificado; en el inicio de sesión de consumo añade fricción y un coste de privacidad con poco beneficio.
El término «atestación» también aparece en otros contextos con la misma idea de una declaración firmada sobre una clave o un artefacto: la atestación de claves de TPM y Android, la atestación PIV de YubiKey y las atestaciones de la cadena de suministro de software (in-toto, procedencia SLSA).