Um familiar meu foi se inscrever em um comcurso público recente. No cadastro de login, o mínimo de caracteres pra senha era 8, e o MÁXIMO era 12.
Se você for um imbecil em segurança, no mínimo vai colocar 8-16. O certo seria ter mais de 50.
E quem garante que essa senha de 12 caracteres passa por um algoritmo de Hash, ou derivação de chaves pra que o dono do site ou um hacker não veja sua senha? Ninguém, provavelmente a senha fica exposta.