A los autenticadores de plataforma (Windows Hello, Touch ID y Face ID de Apple, el bloqueo de pantalla de Android) se accede mediante las API del sistema operativo; los autenticadores itinerantes (llaves de seguridad como YubiKey o Titan, o un teléfono usado a través del transporte híbrido) hablan CTAP por USB, NFC o Bluetooth. Los gestores de credenciales como iCloud Keychain, Google Password Manager o 1Password actúan como autenticadores para las llaves de acceso sincronizadas.
Las capacidades varían: el método de verificación del usuario (biometría, PIN), los límites de almacenamiento de credenciales detectables en las llaves de seguridad (a menudo de 25 a unos cientos), los algoritmos admitidos (ES256 casi universalmente, EdDSA en muchas llaves) y la atestación. Los indicadores de los datos del autenticador le indican a la relying party qué ocurrió (usuario presente, usuario verificado, admite copia de seguridad, con copia de seguridad).