WebAuthn est ce qu’un site web appelle dans le navigateur ; CTAP est le protocole par lequel le navigateur ou le système d’exploitation communique avec un authentificateur externe via USB, NFC ou Bluetooth, ou avec un téléphone via le transport hybride. Les authentificateurs de plateforme (Windows Hello, Touch ID, Android) sont accessibles via les API du système d’exploitation et n’ont pas besoin de faire transiter des messages CTAP.
CTAP 2.2 a été publié en juillet 2025 et CTAP 2.3 a obtenu le statut de Proposed Standard en février 2026 ; la certification FIDO2 est désormais délivrée sur la base de CTAP 2.3. CTAP1 est l’ancien protocole U2F, que les clés de sécurité FIDO2 prennent encore en charge pour la rétrocompatibilité. Les développeurs côté serveur ont rarement affaire directement à CTAP : ils implémentent la vérification WebAuthn côté partie de confiance et traitent tous les authentificateurs de la même façon.