Os comandos do CTAP2 incluem authenticatorMakeCredential, authenticatorGetAssertion, authenticatorGetInfo, authenticatorClientPIN (com os protocolos de autenticação PIN/UV), gerenciamento de credenciais e armazenamento de blobs grandes (large blob). O CTAP1 é o formato de mensagens U2F, mais antigo, mantido por compatibilidade. O CTAP 2.2 (julho de 2025) acrescentou os detalhes do transporte híbrido e novas extensões, e o CTAP 2.3 (padrão proposto, fevereiro de 2026) é a base atual de certificação.
O transporte híbrido (antes chamado caBLE) permite que um celular atue como autenticador de um computador próximo: o computador mostra um QR code, os dispositivos verificam a proximidade por Bluetooth Low Energy e as mensagens CTAP passam por um servidor de retransmissão na nuvem, criptografadas de ponta a ponta. Desenvolvedores web raramente veem o CTAP; ele importa para fabricantes de autenticadores, para desenvolvedores de navegadores e de sistemas operacionais e para quem depura chaves de segurança com ferramentas como libfido2.