CTAP2 のコマンドには、authenticatorMakeCredential、authenticatorGetAssertion、authenticatorGetInfo、authenticatorClientPIN（PIN/UV 認証プロトコルを伴う）、認証情報の管理、大きなデータ（large blob）の保存などがあります。CTAP1 は、互換性のために残されている従来の U2F のメッセージ形式です。CTAP 2.2（2025年7月）はハイブリッドトランスポートの詳細と新しい拡張を追加し、CTAP 2.3（Proposed Standard、2026年2月）が現在の認定の基準です。
ハイブリッドトランスポート（旧称 caBLE）を使うと、スマートフォンが近くのコンピューターの認証器として機能します。コンピューターが QR コードを表示し、デバイス同士が Bluetooth Low Energy で近接していることを確認したうえで、CTAP のメッセージがエンドツーエンドで暗号化されてクラウドのリレーを経由します。Web 開発者が CTAP を目にすることはほとんどありません。CTAP が重要になるのは、認証器のベンダー、ブラウザーやオペレーティングシステムの開発者、そして libfido2 などのツールでセキュリティキーをデバッグする人です。