NIST SP 800-63B-4（2025年）は、単一要素として使うパスワードを 15 文字以上（多要素認証の中だけで使う場合は 8 文字以上）とすること、64 文字以上の長さと、スペースや Unicode を含むすべての印字可能文字を許可すること、そしてよく使われるパスワードや漏洩したパスワードのブロックリストと照合することを求めています。文字種の組み合わせルールと定期的な変更の強制は禁止されており、変更が必要なのは侵害の証拠がある場合だけです。パスワードマネージャーと貼り付けを許可しなければなりません。
サーバーは、ソルトを付けた低速なハッシュ（Argon2id、scrypt、bcrypt、PBKDF2）で保存し、推測にレート制限をかけなければなりません。しかし、そのどれもフィッシングや、使い回されたパスワードによるパスワードリスト攻撃（クレデンシャルスタッフィング）は防げません。そのため、パスキーが推奨される代替手段となっています。まずは任意の 2 つ目の方法として導入し、最終的にはパスワードのないアカウントへ移行します。