登録（create）は、認証器データ（新しい認証情報の ID と COSE 形式の公開鍵を含む）とアテステーションステートメントを格納したアテステーションオブジェクトを返します。認証（get）は、認証器データ、clientDataJSON、authenticatorData ‖ SHA-256(clientDataJSON) に対する署名を返します。リライングパーティは、clientDataJSON 内のチャレンジ、オリジン、タイプ、認証器データ内の RP ID ハッシュとフラグ、そして署名を検証します（WebAuthn Level 3 §7.1 と §7.2）。
Level 3 では、ブラウザーがすでに実装していた機能が標準化されました。JSON シリアライズのヘルパー（toJSON、parseCreationOptionsFromJSON）、認証情報の更新を伝える Signal API、getClientCapabilities()、関連オリジンリクエスト（related origin requests）、条件付き作成（conditional create）、暗号化用の鍵を導出する PRF 拡張です。Level 2 は 2021年4月、Level 1 は 2019年3月に公開されました。
WebAuthn は FIDO2 の Web 側を担い、CTAP がブラウザーと外部の認証器を接続します。WebAuthn インスペクターは、clientDataJSON、認証器データ、アテステーションオブジェクトをデコードします。