Длина важнее сложности. 16 случайных символов или 5 случайных слов надёжнее, чем короткий пароль с заменой букв на цифры.

Свой пароль для каждого сайта. Если один сайт утечёт, остальные не пострадают. Хранить их удобно в менеджере паролей.

Включите вход в два шага там, где это возможно: даже украденный пароль тогда не поможет.