アテステーションオブジェクトには、fmt、attStmt、認証器データが含まれます。WebAuthn Level 3 は、packed、tpm、android-key、android-safetynet（非推奨）、fido-u2f、apple、none、compound の形式を定義しています。リライングパーティは attestation オプション（none、indirect、direct、enterprise）でアテステーションを要求します。デフォルトは none で、同期パスキーを使う一般消費者向けプラットフォームは通常、アテステーションを返さず、AAGUID もすべてゼロになります。
アテステーションの検証とは、認証器データとクライアントデータのハッシュに対するステートメントの署名を確認し、FIDO メタデータサービスまたはベンダーのルートに照らしてアテステーション証明書チェーンを検証し、AAGUID を照合することです。認定済みのハードウェアだけを許可しなければならない企業や高保証の環境では有用ですが、一般消費者向けのログインでは、利点が少ないわりに手間とプライバシー上のコストが増えます。
「アテステーション」という語は、鍵やアーティファクトについての署名付きステートメントという同じ意味で、ほかの分野にも登場します。TPM や Android の鍵アテステーション、YubiKey の PIV アテステーション、ソフトウェアサプライチェーンのアテステーション（in-toto、SLSA の来歴）などです。