Le tout c’est de regarder l’usage. Ton compte sur un serveur a besoin d’être gros parce qu’il faut qu’il résiste à des milliers voire des milliards d’essais.
Il doit même pouvoir résister à une tentative de résolution à partir de l’empreinte du mot de passe lui même (pour peu que quelqu’un ait accès à la base).
Celui qui réussit a accès à tout et les conséquences sont définitives.

Ici c’est différent. La banque est un point central qui peut se permettre de bloquer temporairement l’accès après un certain nombre d’échecs.
Si tu n’as que 3 essais un PIN de quelques chiffres est suffisant. S’ils demandent 6 c’est probablement pour éviter que des idiots y mettent le PIN de la CB directement. S’ils demandent lettre et chiffre c’est pour éviter que on ait des dates anniversaire ou des prénoms.
Pas besoin d’aller plus loin s’ils sont capable de tracer des tentatives multiples. Personne ne pourra tenter un millier de combinaisons pour débloquer le paiement donc aucun besoin de le code résiste à une telle tentative.

En fait leur boulot est même encore plus simple car il n’y a aucune conséquence définitive. Tu es capable de refuser un paiement fait sans la puce de ta CB et sans signature (donc tout ce qui est fait online). Si la banque est sympa elle peut même t’alerter de problèmes potentiels quand elle constate des échecs.
Bref, même si ça casse il n’y a aucune conséquence, et donc la sécurité doit être appropriée, mesurée en conséquence.

Mais tout cela est encore plus positif pour nous que pour la banque. Demandes un identifiant secret très fort, et la banque va commencer à te dire que finalement cet identifiant est une clef d’accès, et donc qu’il t’authentifie, bref, que tu ne pourras plus dénoncer le paiement si cet identifiant a été validé.
Un identifiant simple c’est juste une sécurité, pas une authentification. Bref, ça reste à l’avantage de l’utilisateur.