O NIST SP 800-63B-4 (2025) exige que senhas usadas como fator único tenham pelo menos 15 caracteres (pelo menos 8 quando usadas apenas dentro de uma autenticação multifator), que o comprimento máximo permitido seja de pelo menos 64 caracteres, que todos os caracteres imprimíveis sejam aceitos, incluindo espaços e Unicode, e que as senhas sejam conferidas com listas de bloqueio de senhas comuns e vazadas. Ele proíbe regras de composição e trocas forçadas periódicas; a troca só é exigida quando há indícios de comprometimento. É obrigatório permitir gerenciadores de senhas e a colagem de senhas.
Os servidores devem armazenar hashes lentos e com salt (Argon2id, scrypt, bcrypt ou PBKDF2) e aplicar limite de taxa às tentativas. Nada disso impede o phishing nem o credential stuffing (teste automatizado de credenciais vazadas) com senhas reutilizadas, e é por isso que as chaves de acesso são a substituição recomendada, primeiro como segundo método opcional e depois em contas sem senha.