WebAuthn различает присутствие пользователя (UP: касание или нажатие доказывает, что кто-то рядом) и проверку пользователя (UV: доказывает, кто именно). Доверяющие стороны запрашивают её параметром userVerification: "required", "preferred" (по умолчанию) или "discouraged" и, если полагаются на неё, должны сами проверять флаг UV (бит 2); учётные данные, которые используются с UV, в терминологии NIST считаются многофакторным аутентификатором, потому что сочетают владение ключом с PIN-кодом или биометрией.
Ни биометрические данные, ни PIN-код никогда не покидают устройство: сервер узнаёт только то, что проверка состоялась. Типичная ошибка: запросить preferred, а затем считать каждый assertion двухфакторным, хотя некоторые аутентификаторы (старые ключи безопасности без заданного PIN-кода) возвращают UV = 0.