NIST SP 800-63B-4 (2025) exige que las contraseñas usadas como único factor tengan al menos 15 caracteres (al menos 8 cuando se usan solo dentro de una autenticación multifactor), que se admitan al menos 64 caracteres y todos los caracteres imprimibles, incluidos los espacios y Unicode, y que se comprueben con listas de bloqueo de contraseñas comunes y filtradas. Prohíbe las reglas de composición y los cambios forzosos periódicos; solo se exige un cambio si hay indicios de compromiso. Hay que permitir los gestores de contraseñas y la acción de pegar.
Los servidores deben guardar hashes lentos y con sal (Argon2id, scrypt, bcrypt o PBKDF2) y aplicar un límite de frecuencia a los intentos. Nada de eso impide el phishing ni el relleno de credenciales (credential stuffing) con contraseñas reutilizadas, y por eso las llaves de acceso son el sustituto recomendado: primero como segundo método opcional y después para pasar a cuentas sin contraseña.