Pelo menos 12 caracteres. Verificamo-la contra fugas de dados conhecidas, por isso não reutilize uma palavra-passe de outro site.