Las mejores/recomendadas prácticas de la industria (como las defendidas por NIST) ya no recomiendan exigir “LUDS” (minúsculas + mayúsculas + dígito + símbolo) ni ningún otro requisito de clase de caracteres. Han pasado estrictamente a restricciones de longitud mínima como mejor práctica. Vea, por ejemplo, esta entrada de blog de NIST de hace cinco años:
Resume los cambios en la guía y, hasta donde yo sé, Discourse ha implementado las prácticas recomendadas.