Websites moeten wachtwoorden alleen gesalt en gehasht opslaan, daarvoor pleit het Het Europees agentschap voor netwerk- en informatiebeveiliging (ENISA). Recentelijk zijn er tientallen miljoenen gegevens van gehackte websites op straat beland, zoals LinkedIn, Nvidia, Billabong, Yahoo!, Formspring en Android Forums. In een aantal gevallen waren wachtwoorden niet gehasht en gesalt, in andere gevallen werd er alleen een hash gebruikt.

Volgens ENISA moeten providers en websites wachtwoorden alleen op een veilige manier bewaren. Het gaat dan om sterke hashing algoritmes, waarbij elk gehasht wachtwoord ook gesalt wordt. Niet alleen moeten hashes aanvallen kunnen weerstaan, ze moeten in een veilige omgeving worden opgeslagen. Het is voor websites dan ook belangrijk dat ze niet kwetsbaar voor SQL Injection zijn, zo laat ENISA weten.

Eindgebruiker
Verder is er ook een rol voor de eindgebruiker weggelegd. Die moet volgens het agentschap niet overal hetzelfde wachtwoord gebruiken, een sterk wachtwoord kiezen, een wachtwoordmanager gebruiken, regelmatig wachtwoorden wijzigen en als er twee-factor authenticatie wordt aangeboden dit gebruiken. Daarbij wordt er zelfs naar de bekende XKCD tekening over passphrases verwezen.

Wat betreft het regelmatig wijzigen van wachtwoorden is dit volgens beveiligingsgoeroe Bruce Schneier zeker voor consumenten onzin. Zodra een aanvaller een wachtwoord steelt zal hij dit bij eindgebruikers in de meeste gevallen meteen misbruiken en zal de gebruiker dit ontdekken.