NIST SP 800-63B-4 (2025) verlangt, dass Passwörter, die als einziger Faktor dienen, mindestens 15 Zeichen lang sind (mindestens 8, wenn sie nur innerhalb einer Multi-Faktor-Authentifizierung verwendet werden), dass Längen bis mindestens 64 Zeichen sowie alle druckbaren Zeichen einschließlich Leerzeichen und Unicode zulässig sind und dass sie gegen Blocklisten verbreiteter und geleakter Passwörter geprüft werden. Kompositionsregeln und regelmäßige erzwungene Wechsel verbietet der Standard; ein Wechsel ist nur bei Hinweisen auf eine Kompromittierung erforderlich. Passwortmanager und das Einfügen müssen erlaubt sein.
Server müssen langsame Hashes mit Salt speichern (Argon2id, scrypt, bcrypt oder PBKDF2) und Rateversuche per Rate Limit begrenzen. Nichts davon verhindert Phishing oder Credential Stuffing mit wiederverwendeten Passwörtern; deshalb sind Passkeys der empfohlene Ersatz, zunächst als optionale zweite Methode und schließlich mit Konten ganz ohne Passwort.