Les parties de confiance en demandent un avec residentKey: "required" (ou preferred) dans authenticatorSelection ; à la connexion, elles appellent get avec une liste allowCredentials vide et reçoivent le userHandle avec l’assertion. Les clés d’accès sont détectables par définition, et la médiation conditionnelle (mediation: "conditional") les affiche dans la liste de saisie automatique du navigateur.
Les identifiants non détectables (le modèle U2F) conservent la clé privée, encapsulée, dans l’ID d’identifiant que stocke le serveur : les clés de sécurité peuvent ainsi prendre en charge un nombre illimité de sites, mais l’utilisateur doit d’abord saisir un nom d’utilisateur. Les identifiants détectables occupent un espace de stockage limité sur les clés de sécurité et peuvent y être listés et supprimés ; les gestionnaires de clés d’accès synchronisées n’ont pas cette limite.