L’objet d’attestation contient fmt, attStmt et les données d’authentificateur. WebAuthn Level 3 définit les formats packed, tpm, android-key, android-safetynet (obsolète), fido-u2f, apple, none et compound. Les parties de confiance la demandent avec l’option attestation (none, indirect, direct ou enterprise) ; la valeur par défaut est none, et les plateformes grand public à clés d’accès synchronisées ne renvoient généralement aucune attestation et un AAGUID entièrement nul.
Vérifier une attestation consiste à contrôler la signature de la déclaration sur les données d’authentificateur et le condensat des données client, à valider la chaîne de certificats d’attestation par rapport aux racines du service de métadonnées FIDO ou du fabricant, et à vérifier la correspondance de l’AAGUID. C’est utile pour les déploiements en entreprise et à haut niveau d’assurance qui doivent n’autoriser que du matériel certifié ; pour la connexion grand public, cela ajoute de la friction et un coût pour la vie privée, pour peu de bénéfice.
Le terme « attestation » apparaît aussi ailleurs avec la même idée d’une déclaration signée sur une clé ou un artefact : attestation de clé TPM et Android, attestation PIV de YubiKey, et attestations de la chaîne d’approvisionnement logicielle (in-toto, provenance SLSA).