Можно, например, попросить наивного юзера поставить пароль из 20 символов и сказать первые 8. А потом, когда пароль перестанет подходить, убедить, что он просто забыл такой длинный пароль.

Кстати, сайт по-моему не принимает на логин пароли длиннее 8-символов (не обрезает / могу ошибаться).