登録では、認証器（スマートフォン、コンピューターのプラットフォーム認証器、またはセキュリティキー）上で鍵ペアが作成され、サイトは公開鍵と認証情報 ID だけを保存します。ログイン時には、ブラウザーがチャレンジを送り、認証器はユーザーを確認したうえで、チャレンジとサイトの RP ID のハッシュ値をまとめて署名し、サーバーがその署名を検証します。ほとんどのパスキーは ES256（COSE −7）を使い、一部は EdDSA または RS256 を使います。
同期パスキーは、認証情報マネージャー（iCloud キーチェーン、Google パスワードマネージャー、1Password など）によってバックアップされ、ユーザーのデバイス間でコピーされるもので、バックアップ可能フラグを持ちます。デバイスに紐付いたパスキーは、セキュリティキーなどの 1 つの認証器に保存され、コピーできません。クロスデバイスのログインには、ハイブリッドトランスポート（QR コードと Bluetooth による近接確認）を使います。FIDO の認証情報交換形式（CXF。CXP プロトコルはまだドラフト段階）を使うと、ユーザーはパスキーをマネージャー間で移行できます。
それでもサーバー側で正しく実装しなければならないのは、有効期間の短いランダムなチャレンジ、RP ID とオリジンの確認、ユーザー検証のポリシー、より弱い要素を再び持ち込まないアカウント復旧、そしてアカウントごとに複数のパスキーを保存できることです。パスキーサンドボックスでは、登録とログインの全体をローカルで実行できます。