Среди команд CTAP2 — authenticatorMakeCredential, authenticatorGetAssertion, authenticatorGetInfo, authenticatorClientPIN (с протоколами аутентификации PIN/UV), управление учётными данными и хранение больших двоичных объектов (large blob). CTAP1 — старый формат сообщений U2F, сохранённый для совместимости. В CTAP 2.2 (июль 2025 года) добавлены детали гибридного транспорта и новые расширения, а CTAP 2.3 (предлагаемый стандарт, февраль 2026 года) — текущая основа сертификации.
Гибридный транспорт (ранее caBLE) позволяет телефону служить аутентификатором для компьютера поблизости: компьютер показывает QR-код, устройства проверяют близость по Bluetooth Low Energy, а сообщения CTAP передаются через облачный ретранслятор со сквозным шифрованием. Веб-разработчики редко имеют дело с CTAP; он важен производителям аутентификаторов, разработчикам браузеров и операционных систем и всем, кто отлаживает ключи безопасности с помощью таких инструментов, как libfido2.