SP 800-63B-4 distingue la contraseña usada como único factor de la integrada en autenticación multifactor. En el primer caso exige un mínimo de 15 caracteres; en el segundo permite un mínimo de ocho. Esto no recomienda acortar contraseñas existentes.
El documento rechaza reglas arbitrarias de composición y cambios periódicos obligatorios. Sin embargo, exige cambiar la contraseña cuando haya indicios de compromiso. Conviene separar la caducidad por calendario de la respuesta a incidentes.
La longitud no basta. Hay que contrastar nuevas contraseñas con valores comunes o comprometidos y limitar intentos fallidos. Una cadena larga también puede ser predecible o estar expuesta.
En el nivel AAL2, las aplicaciones deben ofrecer una opción resistente al phishing. No cualquier segundo factor lo es: un código escrito en una página falsa puede retransmitirse. Importan el mecanismo concreto y la recuperación de la cuenta.
Para evaluar un servicio, pregunta por longitud según contexto, bloqueo de contraseñas comprometidas, recuperación y opciones resistentes al phishing. NIST tiene un ámbito definido; sus reglas no son automáticamente una obligación legal para toda web privada o país.
Nota editorial: las especificaciones del fabricante no son pruebas independientes. Los enlaces son referencias, no recomendaciones de compra.