WebAuthn 前身のFIDO Universal Second Factor (U2F)のように、W3C Web Authentication (WebAuthn)は下記のようにウェブサイト 、ウェブブラウザ 、認証器が対応している:
ウェブサイトはWebAuthn Relying Partyに準拠する。
ブラウザはWebAuthn Clientに準拠する。
認証器はFIDO2 authenticatorでWebAuthn Clientと互換性があるとされる。 WebAuthnはWebAuthn Relying Partyと称する検証者に要求者が所有をどのように証明するかを明記し、FIDO2認証器をコントロールする。認証プロセスは準拠するウェブブラウザに過ぎないWebAuthn Clientと呼ばれるエンティティが取り持っている。
通常のWeb Authentication (WebAuthn) の流れ 右図では、認証器はハードウェア認証器と仮定する。どちらの場合でも、認証器は多要素暗号 認証器でWebAuthn Relying Partyを対象とした認証アサーションに証明するために公開鍵暗号を利用する。ユーザー確認にPIN を使用すると仮定するとして、認証器は「ユーザーが持っているもの」でPINは「ユーザーが知っているもの」とする。
WebAuthn Relying PartyはJavaScript を経由してWebAuthn Client（ウェブブラウザなど）に指示する。WebAuthn Clientはブラウザに実装されたJavaScriptのAPI をする認証器とやり取りする。認証器はFIDO Client to Authenticator Protocol （英語版 ） 2.0に準じている。
全ての主要なウェブブラウザ が Web Authentication に対応している。
WebAuthnの実装例 (Pixiv 用Bitwarden ) Web Authenticationは各アカウント固有の「ユーザーハンドル」識別子を参照する機能を追加したことで古いハードウェアトークンを保存することができなくなったにもかかわらず既存のFIDO U2FセキュリティキーはWebAuthn標準とほぼ互換性がある。最初のFIDO2互換認証器 （英語版 ） セキュリティキー であることが2018年4月10日に発表されている。
Dropbox は2018年5月8日にWeb Authenticationログイン(2段階認証として)に対応したと発表した。
2018年8月、Paragon Initiative Enterprisesは予定されているWebAuthn標準のセキュリティ検査を行った。この時は特定の悪用は発見されなかったが、この標準が使用し権限を与える基礎的な暗号の方法においていくつかの重大な脆弱性を発見したとしている。
批判の主要な点は、過去に他の暗号化システムで問題になっていた2つの潜在的問題を中心に回っていて、そのために同じようなサイバー攻撃の被害に遭うのを避けなければいけないという点である:
COSE (RFC 8152 ) の強制使用によりWebAuthnもPKCS1v1.5パッディング （英語版 ） RSA暗号 に対応している。この特定のパッディングスキームは最低20年間特定の攻撃 （英語版 ） FIDO allianceはECDAAと呼ばれる非対称暗号 スキームを標準化した。これは楕円曲線 をベースにした直接匿名認証 （英語版 ） 楕円曲線暗号 の領域での過去数十年の研究で培われた教訓の一部を取り入れておらず、選択した曲線はこの曲線の種類固有のセキュリティ上の欠陥が複数あり、セキュリティの保証を著しく低下させている。さらにECDAA標準は過去に問題を起こしたことがある手当たり次第かつ非決定的な署名を含んでいる。 
