Ele fica logo depois das flags e do contador, nos dados atestados da credencial, antes do comprimento do ID da credencial. As chaves de hardware informam o AAGUID do seu modelo; gerenciadores de senhas e autenticadores de plataforma também publicam os seus (listas mantidas pela comunidade os associam a nomes como Chaves do iCloud ou Gerenciador de Senhas do Google). Quando o atestado é none, muitas plataformas retornam apenas zeros.
Sem um atestado verificado, o AAGUID é só uma declaração do cliente e pode ser falsificado; por isso, use-o para exibição (“entrou com sua YubiKey 5”) e análises, não para decisões de acesso. Para aplicar políticas, verifique o atestado no serviço de metadados da FIDO. A consulta de AAGUID associa os valores aos modelos de autenticador.