Con WebAuthn, el navegador incluye el origen en clientDataJSON y el autenticador firma sobre el hash del RP ID, así que una credencial para example.com sencillamente no funciona en examp1e.com, y nada de lo que escribe el usuario puede retransmitirse. Las contraseñas, los códigos por SMS y por correo electrónico, las aplicaciones TOTP y las aprobaciones push son vulnerables al phishing en tiempo real mediante kits de proxy, y por eso los atacantes eluden de forma rutinaria la autenticación multifactor.
NIST SP 800-63B-4 define la resistencia al phishing y exige una opción de autenticador resistente al phishing en AAL2 y resistencia al phishing en AAL3; la política federal de EE. UU. (OMB M-22-09) exige MFA resistente al phishing para el personal. Los flujos de recuperación y de respaldo no deben reintroducir discretamente factores vulnerables al phishing.