No WebAuthn, o navegador coloca a origem no clientDataJSON e a assinatura do autenticador cobre o hash do RP ID, então uma credencial de example.com simplesmente não funciona em examp1e.com, e nada do que o usuário digita pode ser repassado. Senhas, códigos por SMS e e-mail, aplicativos TOTP e aprovações por push podem ser capturados por phishing em tempo real com kits de proxy, e é por isso que os atacantes contornam a autenticação multifator rotineiramente.
A publicação NIST SP 800-63B-4 define a resistência a phishing e exige uma opção de autenticador resistente a phishing no AAL2 e resistência a phishing no AAL3; a política federal dos EUA (OMB M-22-09) exige MFA resistente a phishing para os servidores federais. Os fluxos de recuperação e os alternativos (fallback) não devem reintroduzir discretamente fatores vulneráveis a phishing.