As partes confiáveis a solicitam com residentKey: "required" (ou preferred) em authenticatorSelection; no login, chamam get com uma lista allowCredentials vazia e recebem o userHandle com a asserção. As chaves de acesso são detectáveis por definição, e a mediação condicional (mediation: "conditional") as mostra na lista de preenchimento automático do navegador.
As credenciais não detectáveis (o modelo do U2F) mantêm a chave privada encapsulada (wrapped) dentro do ID da credencial que o servidor armazena, de modo que as chaves de segurança podem atender a um número ilimitado de sites, mas o usuário precisa digitar um nome de usuário primeiro. As credenciais detectáveis consomem o armazenamento limitado das chaves de segurança e podem ser listadas e excluídas nelas; os gerenciadores de chaves de acesso sincronizadas não têm esse limite.