Pelo menos 8 caracteres. Senhas que já apareceram em vazamentos são bloqueadas.