WebAuthn は Web サイトがブラウザー内で呼び出すもので、CTAP はブラウザーやオペレーティングシステムが USB、NFC、Bluetooth で外部の認証器と、またはハイブリッドトランスポートでスマートフォンと通信するための仕組みです。プラットフォーム認証器（Windows Hello、Touch ID、Android）にはオペレーティングシステムの API を通じてアクセスするため、通信路上で CTAP を使う必要はありません。
CTAP 2.2 は 2025年7月に公開され、CTAP 2.3 は 2026年2月に Proposed Standard になりました。現在、FIDO2 の認定は CTAP 2.3 を基準に発行されています。CTAP1 は従来の U2F プロトコルで、FIDO2 のセキュリティキーは後方互換性のために今もこれをサポートしています。サーバーの開発者が CTAP を直接扱うことはほとんどありません。WebAuthn のリライングパーティ側の検証を実装し、すべての認証器を同じように扱います。