Hầu hết các chính sách mật khẩu đều có hạn sử dụng từ 90 đến 180 ngày. Sau thời gian này người dùng cần phải thay mật khẩu mới. Thêm vào đó, một số hệ thống thiết lập hiện đại cũng yêu cầu người dùng thay mật khẩu mới với cú pháp khác hoàn toàn hoặc không trùng lặp với mật khẩu cũ.