Die Passwort-Regeln können in der Anwendungskonfiguration definiert werden. Standardmäßig werden die folgenen Einstellungen unterstützt:

enabled	Ob Passwort-Prüfungen stattfinden sollen.
expiry-period	Wie lange ein Passwort gültig bleibt, bevor ein neues gewählt werden muss.
repeat-cycle	Nach wievielen Änderungen dasselbe Passwort wiederverwendet werden darf.
min-password-length	Die minimale Länge des Passworts in Zeichen.
criteria-count	Die Anzahl von Kategorien von Zeichen (Großbuchstaben, Kleinbuchstaben, Sonderzeichen, Ziffern) aus denen sich das Passwort zusammensetzten muss (bis zu 4).
exclude-uids	Liste von User-IDs, für welche diese Regeln nicht gelten.

Eine Konfiguration könnte folgendermaßen aussehen:

<config service-class="com.top_logic.base.accesscontrol.Login">
   <instance>
      <password-manager>
         <password-validator>
            <enabled>true</enabled>
            <expiry-period>365</expiry-period>
            <repeat-cycle>3</repeat-cycle>
            <min-password-length>12</min-password-length>
            <criteria-count>2</criteria-count>
            <exclude-uids></exclude-uids>
         </password-validator>
      </password-manager>
   </instance>
</config>