El registro crea un par de claves en un autenticador (un teléfono, el autenticador de plataforma de un equipo o una llave de seguridad); el sitio solo guarda la clave pública y un ID de credencial. Al iniciar sesión, el navegador envía un desafío, el autenticador comprueba al usuario y firma el desafío junto con el hash del RP ID del sitio, y el servidor verifica la firma. La mayoría de las llaves de acceso usan ES256 (COSE −7); algunas usan EdDSA o RS256.
Un gestor de credenciales (Llavero de iCloud, Gestor de contraseñas de Google, 1Password y otros) respalda y copia las llaves de acceso sincronizadas entre los dispositivos del usuario, y estas llevan el indicador backup-eligible; las llaves de acceso vinculadas a un dispositivo residen en un solo autenticador, como una llave de seguridad, y no se pueden copiar. El inicio de sesión entre dispositivos usa el transporte híbrido (un código QR más una comprobación de proximidad por Bluetooth). Los formatos de intercambio de credenciales de FIDO (CXF, con el protocolo CXP todavía en borrador) permiten trasladar llaves de acceso de un gestor a otro.
Lo que el servidor todavía debe hacer bien: desafíos aleatorios de vida corta, comprobaciones del RP ID y del origen, una política de verificación del usuario, una recuperación de cuenta que no reintroduzca un factor más débil y la posibilidad de guardar varias llaves de acceso por cuenta. El entorno de pruebas de llaves de acceso ejecuta localmente un registro y un inicio de sesión completos.