WebAuthn distingue la presencia del usuario (UP, un toque o un clic que demuestra que hay alguien) de la verificación del usuario (UV, que demuestra quién es). Las relying parties la solicitan con userVerification: "required", "preferred" (el valor predeterminado) o "discouraged" y deben comprobar ellas mismas el indicador UV (bit 2) cuando dependen de él; una credencial usada con UV es un autenticador multifactor en la terminología del NIST, porque combina la posesión de la clave con un PIN o un dato biométrico.
El dato biométrico o el PIN nunca salen del dispositivo; el servidor solo sabe que la verificación se produjo. Error habitual: solicitar preferred y luego tratar cada aserción como de dos factores, aunque algunos autenticadores (llaves de seguridad antiguas sin PIN configurado) devuelven UV = 0.