WebAuthn — это то, что сайт вызывает в браузере; CTAP — протокол, по которому браузер или операционная система общается с внешним аутентификатором через USB, NFC или Bluetooth либо с телефоном через гибридный транспорт. К платформенным аутентификаторам (Windows Hello, Touch ID, Android) обращаются через API операционной системы, без обмена сообщениями CTAP.
CTAP 2.2 опубликован в июле 2025 года, а CTAP 2.3 получил статус предлагаемого стандарта (Proposed Standard) в феврале 2026 года; сертификацию FIDO2 теперь проводят по CTAP 2.3. CTAP1 — более старый протокол U2F, который ключи безопасности FIDO2 по-прежнему поддерживают ради обратной совместимости. Разработчики серверов редко имеют дело с CTAP напрямую: они реализуют проверку, которую WebAuthn возлагает на доверяющую сторону, и обрабатывают все аутентификаторы одинаково.