在 WebAuthn 中，浏览器把源写入 clientDataJSON，认证器的签名覆盖 RP ID 的哈希，因此为 example.com 创建的凭证在 examp1e.com 上根本无法使用，用户输入的任何内容也都无法被转发利用。密码、短信和电子邮件验证码、TOTP 应用以及推送批准，都可能被代理式钓鱼工具包实时窃取，这正是攻击者经常能绕过多因素认证的原因。
NIST SP 800-63B-4 定义了抗钓鱼能力，要求在 AAL2 级别提供抗钓鱼认证器选项，在 AAL3 级别则必须具备抗钓鱼能力；美国联邦政策（OMB M-22-09）要求工作人员使用抗钓鱼的 MFA。恢复流程和备用流程不得悄悄重新引入可被钓鱼的因素。