As flags (WebAuthn Level 3 §6.1): bit 0 UP (usuário presente), bit 2 UV (usuário verificado), bit 3 BE (elegível para backup), bit 4 BS (estado de backup), bit 6 AT (dados atestados da credencial incluídos), bit 7 ED (extensões incluídas); os bits 1 e 5 são reservados. Sem AT e ED, a estrutura tem exatamente 37 bytes. Os dados atestados da credencial, presentes no registro, são um AAGUID de 16 bytes, o comprimento do ID da credencial em 2 bytes, o ID da credencial e a chave pública COSE.
A assinatura da asserção cobre authenticatorData ‖ SHA-256(clientDataJSON); por isso, a parte confiável deve conferir o hash do RP ID com o seu próprio RP ID, verificar UP (e UV, se exigido) e avaliar o contador. Autenticadores que não implementam um contador de assinaturas o deixam em zero, o que é a norma nas chaves de acesso sincronizadas; um contador que diminui em um autenticador que o usa pode indicar uma chave clonada.