Объект аттестации содержит fmt, attStmt и данные аутентификатора. WebAuthn Level 3 определяет форматы packed, tpm, android-key, android-safetynet (устаревший), fido-u2f, apple, none и compound. Доверяющие стороны запрашивают аттестацию параметром attestation (none, indirect, direct или enterprise); по умолчанию используется none, а потребительские платформы с синхронизируемыми ключами доступа обычно не возвращают аттестацию и отдают AAGUID из одних нулей.
Проверить аттестацию — значит проверить подпись заявления над данными аутентификатора и хешем клиентских данных, проверить цепочку сертификатов аттестации по корневым сертификатам из службы метаданных FIDO или от производителя и сверить AAGUID. Это полезно в корпоративных системах и системах с высоким уровнем доверия, которые должны допускать только сертифицированное оборудование; при обычном потребительском входе аттестация добавляет неудобства и снижает конфиденциальность, почти не давая пользы.
Термин «аттестация» встречается и в других областях с той же идеей подписанного заявления о ключе или артефакте: аттестация ключей в TPM и Android, аттестация PIV в YubiKey и аттестации цепочки поставок ПО (in-toto, SLSA provenance).