O objeto de atestado contém fmt, attStmt e os dados do autenticador. O WebAuthn Level 3 define os formatos packed, tpm, android-key, android-safetynet (obsoleto), fido-u2f, apple, none e compound. As partes confiáveis o solicitam com a opção attestation (none, indirect, direct ou enterprise); o padrão é none, e as plataformas voltadas ao consumidor, com chaves de acesso sincronizadas, normalmente não retornam atestado e trazem um AAGUID zerado.
Verificar o atestado significa conferir a assinatura da declaração sobre os dados do autenticador e o hash dos dados do cliente, validar a cadeia de certificados de atestado com as raízes do serviço de metadados da FIDO ou do fabricante e conferir o AAGUID. Isso é útil em implantações corporativas e de alta garantia que precisam permitir apenas hardware certificado; no login de consumidores, acrescenta atrito e custo de privacidade com pouco benefício.
“Atestado” (attestation) também aparece em outros contextos com a mesma ideia de uma declaração assinada sobre uma chave ou um artefato: atestado de chave do TPM e do Android, atestado PIV da YubiKey e atestados da cadeia de suprimentos de software (in-toto, proveniência SLSA).