Флаги (WebAuthn Level 3, § 6.1): бит 0 — UP (пользователь присутствует), бит 2 — UV (пользователь проверен), бит 3 — BE (допускается резервное копирование), бит 4 — BS (резервная копия создана), бит 6 — AT (есть сведения об аттестованных учётных данных), бит 7 — ED (есть расширения); биты 1 и 5 зарезервированы. Без AT и ED структура занимает ровно 37 байт. Сведения об аттестованных учётных данных, которые есть при регистрации, состоят из 16-байтного AAGUID, 2-байтной длины идентификатора учётных данных, самого идентификатора учётных данных и открытого ключа COSE.
Подпись assertion охватывает authenticatorData ‖ SHA-256(clientDataJSON), поэтому доверяющая сторона обязана сверить хеш RP ID со своим RP ID, проверить UP (и UV, если он требуется) и оценить счётчик. Аутентификаторы, которые не реализуют счётчик подписей, оставляют его равным нулю — для синхронизируемых ключей доступа это норма; если счётчик уменьшился на аутентификаторе, который его использует, это может указывать на клонированный ключ.