注册时，认证器（手机、电脑的平台认证器或安全密钥）创建密钥对，网站只保存公钥和凭证 ID。登录时，浏览器发送挑战值，认证器验证用户后，对挑战值连同网站 RP ID 的哈希一起签名，服务器再验证签名。大多数通行密钥使用 ES256（COSE −7），也有一些使用 EdDSA 或 RS256。
同步通行密钥由凭证管理器（iCloud 钥匙串、Google 密码管理工具、1Password 等）备份并复制到用户的各台设备上，带有可备份（BE）标志；设备绑定的通行密钥存放在单个认证器（例如安全密钥）中，无法复制。跨设备登录使用混合传输（QR 码加蓝牙近距离检测）。FIDO 的凭证交换格式（CXF，配套的 CXP 协议仍是草案）让用户可以在不同的管理器之间迁移通行密钥。
服务器仍然必须做好的事：使用有效期短的随机挑战值，检查 RP ID 和源，制定用户验证策略，账号恢复不能重新引入更弱的验证因素，并支持每个账号保存多个通行密钥。通行密钥沙盒在本地运行完整的注册和登录流程。