Las relying parties la solicitan con residentKey: "required" (o preferred) en authenticatorSelection; al iniciar sesión llaman a get con una lista allowCredentials vacía y reciben el userHandle junto con la aserción. Las llaves de acceso son detectables por definición, y la mediación condicional (mediation: "conditional") las muestra en la lista de autocompletado del navegador.
Las credenciales no detectables (el modelo de U2F) guardan la clave privada envuelta dentro del ID de credencial almacenado en el servidor, así que las llaves de seguridad pueden admitir un número ilimitado de sitios, pero el usuario tiene que escribir primero un nombre de usuario. Las credenciales detectables ocupan el almacenamiento limitado de las llaves de seguridad y se pueden listar y eliminar allí; los gestores de llaves de acceso sincronizadas no tienen ese límite.