O WebAuthn é o que um site chama no navegador; o CTAP é a forma como o navegador ou o sistema operacional se comunica com um autenticador externo por USB, NFC ou Bluetooth, ou com um celular pelo transporte híbrido. Os autenticadores de plataforma (Windows Hello, Touch ID, Android) são acessados por APIs do sistema operacional e não precisam trocar mensagens CTAP.
O CTAP 2.2 foi publicado em julho de 2025, e o CTAP 2.3 se tornou padrão proposto em fevereiro de 2026; a certificação FIDO2 agora é emitida com base no CTAP 2.3. O CTAP1 é o protocolo U2F, mais antigo, que as chaves de segurança FIDO2 ainda aceitam por compatibilidade com versões anteriores. Desenvolvedores de servidor raramente lidam diretamente com o CTAP: eles implementam a verificação do WebAuthn do lado da parte confiável (relying party) e tratam todos os autenticadores da mesma forma.