Parmi les commandes CTAP2 figurent authenticatorMakeCredential, authenticatorGetAssertion, authenticatorGetInfo, authenticatorClientPIN (avec les protocoles d’authentification PIN/UV), la gestion des identifiants et le stockage de grands blobs (large-blob). CTAP1 est l’ancien format de messages U2F, conservé pour la compatibilité. CTAP 2.2 (juillet 2025) a ajouté les détails du transport hybride et de nouvelles extensions, et CTAP 2.3 (statut Proposed Standard, février 2026) est la référence actuelle pour la certification.
Le transport hybride (anciennement caBLE) permet à un téléphone de servir d’authentificateur pour un ordinateur proche : l’ordinateur affiche un code QR, les appareils vérifient leur proximité via Bluetooth Low Energy et les messages CTAP transitent par un relais dans le cloud, chiffrés de bout en bout. Les développeurs web voient rarement CTAP ; il concerne les fabricants d’authentificateurs, les développeurs de navigateurs et de systèmes d’exploitation, et quiconque débogue des clés de sécurité avec des outils comme libfido2.