WebAuthn 区分用户在场（UP，一次触摸或点击，证明有人在场）和用户验证（UV，证明是谁）。依赖方用 userVerification: "required"、"preferred"（默认值）或 "discouraged" 提出要求，如果依赖 UV，就必须自己检查 UV 标志（第 2 位）；按 NIST 的术语，配合 UV 使用的凭证属于多因素认证器，因为它把对密钥的持有与 PIN 或生物识别结合在了一起。
生物识别数据或 PIN 从不离开设备；服务器只能得知验证已经发生。常见陷阱：请求 preferred，然后把每个断言都当作双因素认证，然而有些认证器（未设置 PIN 的旧款安全密钥）返回的是 UV = 0。