Регистрация (create) возвращает объект аттестации с данными аутентификатора (в них идентификатор новых учётных данных и открытый ключ COSE) и заявлением об аттестации; аутентификация (get) возвращает данные аутентификатора, clientDataJSON и подпись над authenticatorData ‖ SHA-256(clientDataJSON). Доверяющая сторона проверяет challenge, источник (origin) и тип в clientDataJSON, хеш RP ID и флаги в данных аутентификатора, а также подпись (WebAuthn Level 3, § 7.1 и § 7.2).
В Level 3 стандартизированы возможности, которые браузеры уже реализовали: вспомогательные функции сериализации в JSON (toJSON, parseCreationOptionsFromJSON), Signal API для обновления учётных данных, getClientCapabilities(), запросы со связанных источников (related origin requests), условное создание (conditional create) и расширение PRF для вывода ключей шифрования. Level 2 опубликован в апреле 2021 года, Level 1 — в марте 2019 года.
WebAuthn — веб-часть FIDO2, а через CTAP браузер связывается с внешними аутентификаторами. Инспектор WebAuthn декодирует clientDataJSON, данные аутентификатора и объекты аттестации.