Unbeliebt wie nasse Socken ist der tägliche Umgang mit Passworten und deren Regeln. Sind für die Webanwendung keine Passwortregeln festgelegt oder sind die Regeln schlecht durchdacht, ergeben sich schnell Wege für einen Angriff.
Durch fehlende oder schwache Regeln kann alles Erdenkliche als Passwort verwendet werden. Die Benutzer neigen dann dazu, bekannte Begriffe im Passwort zu verwenden, was zum Beispiel einen guten Ansatz für den Wörterbuchangriffe bietet. Zu umfangreiche Regeln hingegen schränken die Anzahl der möglichen Passwörter so weit ein, dass das Passwort keine Sicherheit mehr bietet.


