Entre los comandos de CTAP2 están authenticatorMakeCredential, authenticatorGetAssertion, authenticatorGetInfo, authenticatorClientPIN (con los protocolos de autenticación PIN/UV), la gestión de credenciales y el almacenamiento de blobs grandes (large-blob). CTAP1 es el antiguo formato de mensajes de U2F, que se mantiene por compatibilidad. CTAP 2.2 (julio de 2025) añadió los detalles del transporte híbrido y nuevas extensiones, y CTAP 2.3 (estándar propuesto, febrero de 2026) es la base actual de la certificación.
El transporte híbrido (antes caBLE) permite que un teléfono actúe como autenticador de un equipo cercano: el equipo muestra un código QR, los dispositivos comprueban la proximidad por Bluetooth Low Energy y los mensajes CTAP viajan a través de un relé en la nube, cifrados de extremo a extremo. Los desarrolladores web rara vez ven CTAP; importa a los fabricantes de autenticadores, a los desarrolladores de navegadores y sistemas operativos y a cualquiera que depure llaves de seguridad con herramientas como libfido2.