CTAP2 的命令包括 authenticatorMakeCredential、authenticatorGetAssertion、authenticatorGetInfo、authenticatorClientPIN（配合 PIN/UV 认证协议）、凭证管理和大型 blob 存储。CTAP1 是较早的 U2F 消息格式，为兼容性而保留。CTAP 2.2（2025年7月）补充了混合传输的细节和新扩展，CTAP 2.3（拟议标准，2026年2月）是当前的认证基线。
混合传输（前称 caBLE）让手机可以充当附近电脑的认证器：电脑显示 QR 码，两台设备通过低功耗蓝牙确认彼此距离足够近，CTAP 消息则经由云中继传输，并采用端到端加密。Web 开发者很少直接接触 CTAP；需要关注它的是认证器厂商、浏览器和操作系统开发者，以及使用 libfido2 等工具调试安全密钥的人。