O registro cria um par de chaves em um autenticador (um celular, o autenticador de plataforma de um computador ou uma chave de segurança); o site armazena apenas a chave pública e um ID da credencial. No login, o navegador envia um desafio, o autenticador verifica o usuário e assina o desafio junto com o hash do RP ID do site, e o servidor verifica a assinatura. A maioria das chaves de acesso usa ES256 (COSE −7); algumas usam EdDSA ou RS256.
As chaves de acesso sincronizadas recebem backup e são copiadas entre os dispositivos do usuário por um gerenciador de credenciais (Chaves do iCloud, Gerenciador de Senhas do Google, 1Password e outros) e trazem a flag de elegibilidade para backup (backup-eligible); as chaves de acesso vinculadas ao dispositivo ficam em um único autenticador, como uma chave de segurança, e não podem ser copiadas. O login entre dispositivos usa o transporte híbrido (um QR code e uma verificação de proximidade por Bluetooth). Os formatos de troca de credenciais da FIDO (CXF, com o protocolo CXP ainda em rascunho) permitem que os usuários transfiram chaves de acesso entre gerenciadores.
O que o servidor ainda precisa fazer direito: desafios aleatórios de vida curta, verificações do RP ID e da origem, a política de verificação do usuário, uma recuperação de conta que não reintroduza um fator mais fraco e o armazenamento de várias chaves de acesso por conta. O ambiente de testes de chaves de acesso executa localmente um registro e um login completos.