Что говорят о паролях действующие рекомендации NIST

Сначала длина

Рекомендации требуют не меньше 15 символов, если учётную запись защищает только пароль, и не меньше 8, если он используется вместе со вторым шагом. Сервисам следует принимать пароли длиной от 64 символов, включая пробелы, чтобы работали длинные фразы и менеджеры паролей.

Правила, которых больше нет

Сервисы не должны требовать сочетания заглавных букв, цифр и знаков. Такие правила дают предсказуемый результат вроде «Password1!» и почти не добавляют стойкости.

Сервисы не должны заставлять менять пароль каждые несколько месяцев. Пароль меняют, когда есть признаки утечки. Подсказки и контрольные вопросы вроде клички первого питомца тоже не допускаются: ответы можно найти или угадать.

Проверки, которые обязательны

Новый пароль сравнивают со списком распространённых, ожидаемых и известных по утечкам паролей и отклоняют, если он там есть. Число неверных попыток ограничивают.

Вставку в поле пароля следует разрешать. Её запрет мешает менеджерам паролей, а это практичный способ иметь длинный уникальный пароль везде.