يميز SP 800-63B-4 بين كلمة مرور تستخدم وحدها وأخرى ضمن مصادقة متعددة العوامل. يشترط في الحالة الأولى 15 محرفاً على الأقل، ويسمح في الثانية بحد أدنى من ثمانية محارف. لا يعني ذلك أن تقصير كلمة مرور قائمة فكرة جيدة.

يرفض المستند قواعد التركيب الاعتباطية والتغيير الدوري الإجباري. لكن وجود دليل على انكشاف وسيلة المصادقة يستلزم التغيير. لذلك ينبغي فصل انتهاء الصلاحية حسب التقويم عن الاستجابة لحادث أمني.

الطول وحده لا يكفي. يجب فحص كلمات المرور الجديدة مقابل الكلمات الشائعة أو المكشوفة وتقييد محاولات الدخول الفاشلة. فقد تكون كلمة طويلة متوقعة أو معروفة للمهاجم بالفعل.

على التطبيقات عند مستوى AAL2 إتاحة خيار مصادقة مقاوم للتصيد. ليس كل عامل ثانٍ كذلك؛ يمكن تمرير رمز أدخل في صفحة مزيفة إلى الخدمة الأصلية. المهم هو آلية المصادقة الفعلية وكيفية استرداد الحساب.

عند تقييم خدمة، اسأل عن الطول بحسب طريقة الدخول، وفحص الكلمات المكشوفة، والاسترداد، والخيار المقاوم للتصيد. لإرشادات NIST نطاق محدد؛ وهي ليست تلقائياً التزاماً قانونياً لكل موقع خاص أو في كل بلد.

ملاحظة تحريرية: مواصفات الشركة ليست نتائج اختبار مستقل. روابط المصادر مراجع وليست توصيات شراء.