O WebAuthn distingue a presença do usuário (UP, um toque ou clique que prova que há alguém ali) da verificação do usuário (UV, que prova quem é). As partes confiáveis a solicitam com userVerification: "required", "preferred" (o padrão) ou "discouraged" e devem conferir elas mesmas a flag UV (bit 2) quando dependem dela; uma credencial usada com UV é um autenticador multifator nos termos do NIST, porque combina a posse da chave com um PIN ou biometria.
A biometria ou o PIN nunca saem do dispositivo; o servidor só fica sabendo que a verificação aconteceu. Armadilha: solicitar preferred e depois tratar toda asserção como autenticação de dois fatores, embora alguns autenticadores (chaves de segurança mais antigas sem PIN definido) retornem UV = 0.