La NIST SP 800-63B-4 (2025) exige que les mots de passe utilisés comme facteur unique comptent au moins 15 caractères (au moins 8 lorsqu’ils ne servent que dans une authentification multifacteur), que les systèmes acceptent au moins 64 caractères et tous les caractères imprimables, espaces et Unicode compris, et que les mots de passe soient comparés à des listes de blocage de mots de passe courants ou ayant fuité. Elle interdit les règles de composition et les changements forcés périodiques ; un changement n’est exigé qu’en cas de preuve de compromission. Les gestionnaires de mots de passe et le collage doivent être autorisés.
Les serveurs doivent stocker des condensats salés et lents (Argon2id, scrypt, bcrypt ou PBKDF2) et appliquer une limitation de débit aux tentatives. Rien de tout cela n’arrête l’hameçonnage ni le bourrage d’identifiants (credential stuffing) avec des mots de passe réutilisés : c’est pourquoi les clés d’accès sont le remplacement recommandé, d’abord comme seconde méthode facultative, avant de passer à des comptes sans mot de passe.