In WebAuthn, la relying party è il servizio o sito web che si affida a un autenticatore per dimostrare l'identità di un utente. Crea la challenge di accesso, riceve l'asserzione dal browser e verifica che la risposta appartenga all'account e all'origine attesi. In pratica, la relying party è di solito il backend dell'applicazione, la piattaforma di identità o il servizio di accesso.
Questo ruolo è importante perché la sicurezza di WebAuthn dipende dal corretto collegamento tra la credenziale e l'ID della relying party. Il server deve controllare la challenge, l'origine, l'ID della credenziale, la firma e altri dettagli della procedura. Se questi controlli sono deboli, un attaccante può confondere lo stato di accesso, abusare di un flusso reindirizzato o riutilizzare un'asserzione apparentemente valida nel contesto sbagliato. Una validazione forte della relying party è una delle difese principali che mantiene le passkey resistenti al phishing invece che semplicemente simili alle password.