NIST SP 800-63B-4（2025年）要求：用作单一因素的密码至少 15 个字符（仅在多因素认证中使用时至少 8 个字符），必须允许至少 64 个字符以及包括空格和 Unicode 在内的所有可打印字符，并对照常见密码和已泄露密码的黑名单检查。它禁止字符组合规则和定期强制更换；只有在有证据表明密码已被盗用时才要求更换。必须允许使用密码管理器和粘贴。
服务器必须以加盐的慢哈希（Argon2id、scrypt、bcrypt 或 PBKDF2）存储密码，并对猜测尝试实施速率限制。但这些都无法阻止钓鱼，也无法阻止利用重复使用的密码发起的撞库（凭证填充）攻击，这正是推荐用通行密钥取而代之的原因：先作为可选的第二种方式，再逐步过渡到无密码账号。