NIST SP 800-63B-4 (2025) требует, чтобы пароли, которые служат единственным фактором, были длиной не менее 15 символов (не менее 8, если пароль используется только в составе многофакторной аутентификации), чтобы допускалась длина не менее 64 символов и все печатные символы, включая пробелы и Unicode, и чтобы пароли проверялись по спискам распространённых и утёкших паролей. Документ запрещает правила состава пароля и периодическую принудительную смену; смена требуется только при признаках компрометации. Менеджеры паролей и вставка пароля должны быть разрешены.
Серверы должны хранить медленные хеши с солью (Argon2id, scrypt, bcrypt или PBKDF2) и ограничивать частоту попыток подбора (rate limiting). Ничто из этого не защищает от фишинга и от подстановки учётных данных (credential stuffing) с повторно используемыми паролями, поэтому рекомендуемая замена — ключи доступа: сначала как необязательный второй способ входа, затем переход к учётным записям без паролей.