SP 800-63B-4 distingue le mot de passe utilisé seul de celui intégré à une authentification multifacteur. Le premier exige au moins 15 caractères ; le second peut être accepté à partir de huit. Cela ne conseille pas de raccourcir un mot de passe existant.

Le texte rejette les règles arbitraires de composition et le renouvellement périodique obligatoire. En revanche, un changement reste exigé en cas de preuve de compromission. Il faut donc séparer expiration calendaire et réponse aux incidents.

La longueur ne suffit pas. Comparer les nouveaux mots de passe à des valeurs courantes ou compromises et limiter les tentatives échouées restent essentiels. Une longue chaîne peut être prévisible ou déjà divulguée.

Au niveau AAL2, les applications doivent proposer une option résistante au phishing. Tout second facteur ne l’est pas : un code saisi sur une fausse page peut être relayé. Examinez la méthode réelle et le parcours de récupération du compte.

Pour choisir un service, vérifiez longueur selon le contexte, filtrage des mots de passe compromis, récupération et option résistante au phishing. Le NIST a un périmètre défini ; ses recommandations ne constituent pas automatiquement une obligation légale pour tout site privé ou pays.

Note éditoriale : les données constructeur ne sont pas des essais indépendants. Les liens sont des références, pas des recommandations d’achat.