Door Erik van Straten: [..] Tenzij zo'n lage bovengrens wordt ingesteld omdat een hash-achtig algoritme wordt gebruikt waarvan de (bewust lange, om het genereren van rainbow tables te ontmoedigen) uitvoeringstijd toeneemt (lineair of sneller) met de lengte van het plain text password, snap ik niet waarom website-eigenaren bovengrenzen van 16 of zelfs 10 karakters instellen. Heb jij misschien een idee? Er zijn paar redenen denkbaar : 1 - default van het platform (verreweg de grootste oorzaak van alle 'keuzes' ). 2 - de password lengte moet door de hele stack (webserver, applicatie code, hash library of database builtin) tot en met de hash-input gesupport worden. De grens die je de gebruiker aanbiedt is de kleinste gemeenschappelijke lengte van die stack. Ik zou zeker niet uit sluiten dat er daarin componenten zijn waarin de invoer vrij kort afgekapt wordt, of de maximale lengte "onbekend" is (of iig geen gedefinieerd deel van de API van die component ). Dat je website eigenaar bent wil ook niet altijd ...