WebAuthn distingue la présence de l’utilisateur (UP, un toucher ou un clic qui prouve que quelqu’un est là) de la vérification de l’utilisateur (UV, qui prouve de qui il s’agit). Les parties de confiance la demandent avec userVerification: "required", "preferred" (la valeur par défaut) ou "discouraged" et doivent vérifier elles-mêmes l’indicateur UV (bit 2) lorsqu’elles s’y fient ; un identifiant utilisé avec UV constitue un authentificateur multifacteur au sens du NIST, car il combine la possession de la clé avec un PIN ou la biométrie.
La donnée biométrique ou le PIN ne quitte jamais l’appareil ; le serveur apprend seulement que la vérification a eu lieu. Piège : demander preferred, puis traiter chaque assertion comme une authentification à deux facteurs, alors que certains authentificateurs (d’anciennes clés de sécurité sans PIN défini) renvoient UV = 0.