WebAuthn は、ユーザー存在確認（UP：タッチやクリックで誰かがその場にいることを証明）とユーザー検証（UV：それが誰かを証明）を区別します。リライングパーティは userVerification: "required"、"preferred"（デフォルト）、"discouraged" で要求を伝え、UV を前提とする場合は UV フラグ（ビット 2）を自ら確認しなければなりません。UV とともに使われる認証情報は、鍵の所持と PIN または生体認証を組み合わせるため、NIST の用語では多要素認証器にあたります。
生体情報や PIN がデバイスの外に出ることはなく、サーバーが知るのは検証が行われたという事実だけです。よくある落とし穴は、preferred を要求しておきながら、すべてのアサーションを二要素として扱うことです。一部の認証器（PIN を設定していない古いセキュリティキーなど）は UV = 0 を返します。