依赖方在 authenticatorSelection 中设置 residentKey: "required"（或 preferred）来请求可发现凭证；登录时以空的 allowCredentials 列表调用 get，并随断言一起收到 userHandle。通行密钥按定义就是可发现的，条件式中介（mediation: "conditional"）会把它们显示在浏览器的自动填充列表中。
不可发现凭证（U2F 模型）把私钥封装在由服务器保存的凭证 ID 中，因此安全密钥可以支持无限多个网站，但用户必须先输入用户名。可发现凭证会占用安全密钥上有限的存储空间，并且可以在密钥上列出和删除；提供同步通行密钥的管理器则没有这种限制。