パスワードの設定で・・・

パスワードは 短くても セキュリティを高くすることは できます。

たとえば 1日に 3度間違えたら、ログインできないとか。

長ければ長いほど 入力ミスする可能性は 高くなります。
また、パスワードを 覚えるリスクも高くなってきます。

http://blogs.itmedia.co.jp/niikura/2011/03/post-4ef1.html

http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1289561607
同じような質問をされている方がいました。
違うところですけど。

セキュリティの強さをどの程度に設定するかという、システム設計の差によるものと思います。

長くすればセキュリティの強度は強まりますが、パスワードを記憶・保存するユーザーの負担も重くなります。また、システムでパスワードを保存するサーバーの記憶領域も多く必要になります。

パスワードの文字数が少ないサイトは、セキュリティの強さを追求する必要があまりないサイトかもしれません。

非常に長い文字数のパスワードを力ずくで破るためには、コンピューターで何度も挑戦しなければなりませんが、悪意のあるハッカーがそこまでして破って、得になるというサイトでなければ、非常に長くするのは上記のようなデメリットの方が大きくなります。

8文字が短いとのことでしたが、一般的な、数字、英小文字、英大文字の組み合わせで、1文字につき62通りあります(アルファベット26文字×2+数字10文字)。これが8文字になると「62の8乗」(62を8回かけたもの)となりますから、組み合わせの数は非常に多くなります。

これだけのものを時間をかけて破るかどうかを考えると、十分な桁数かどうか検討する材料になるのではありませんか。

オンライン・クラッキング（対象システムに対して、ログイン試行を繰り返す）に関しては、きゃづみぃ さんが書かれている通り、短めのパスワードでもセキュリティレベルを高くする事は可能です。

ただ、

たとえば 1日に 3度間違えたら、ログインできないとか。

を、仮に「同一アカウントに対して３度間違えたら」としたら、正規のユーザもログインできない状態が発生する事になります。接続元の IP アドレスと組み合わせて、とすれば、その可能性は低くなりますが、例えば、アプリケーションにアカウント名とパスワードを覚えさせるような物を使っていて、そっちの修正をせずにパスワードを変更してしまうと、本人が意図しなくてもロックアウトされる可能性もあります。

こういった利便性の低下をどうやって避けるか、というのはサービス側にとっては課題になります。例えば、あるユーザが、普段は接続して来ない海外の IP アドレスから接続してきた場合には、通常のパスワード認証の他に、携帯デバイス等を使った２要素認証要求することで、普段の利便性を損なわずに、警戒すべき状況にはプラスアルファの認証処理を要求する、といった事もあります。ただ、こういった仕組みは、サービスの提供側に取っては大きな負担になる（「警戒すべき状況」を判断するためのチューニングが常に必要だったり、システムの導入・運用費用がかかる）ので、かなり大規模なサービスか、非常に高い信頼性・機密性が必要な場合に限られます。

以上が、オンライン・クラッキングの場合で、もう一つ、オフライン・クラッキングというのがあります。これは、サービス側が保管しているパスワード情報が漏れてしまっている場合です。多くのサービスではユーザのパスワードをそのまま保管しているのではなく、何らかの暗号化に類する処理を行い、元のパスワードが何かが分からないようにしています。

この「暗号化に類する処理」をした後のパスワード情報から、元のパスワードを見つけ出すのがオフライン・クラッキングです。この場合、単純にパスワードから同じ計算処理を行って、手元にあるパスワード情報と合致するかを確認する、という事を繰り返すことになるで、オンライン・クラッキングの時のような「何回失敗したらログインできない」という対策は意味がありません。

このような最悪の事態でも、元のパスワードを復元できないようにするには、パスワードの長さを長くする事が有効です。

去年末に Windows のログオン時のパスワードで、８文字以下なら 5.5 時間で元のパスワードを見つけられる、という話が出たのですが、これはまさにこの「オフライン・クラッキング」での話でした。手前味噌ですが、その事に関してちょっと書いたことがあります。

こんなに早く、この日が来るとは... - JULYの日記

この「８文字以下 5.5 時間」のシステムを使っても、10 文字のパスワードなら年単位の時間がかかります。

で、ようやく本題w。

８文字　なんて言ってるサイトは、よっぽどセキュリティに自信があるのでしょうか？？

個人的な見解ですが、自信があるのではなく、「知らない」だけだと思います。

使える文字に制限が有るのは、Web サイト側の作りが面倒になるので「記号は一切使えません」としてしまう、というのは分からなくもないですが（とはいえ、作り手の技術力の無さを自ら白状するような感じがしますが）、パスワード長の上限を短くすることにメリットはありません。

強いて言うと、古い UNIX の場合に、有効なパスワード長が８文字までだった、という事はありますが、今時、そんな制限があるシステムは無いですので、そういった古いシステムを引きずっている場合でない限り、全く意味がありません。ましてや Web サービスの場合、サービスのアカウントと OS のアカウントを結びつける事は、普通、やらないので、パスワード長は Web サービスを作る側が勝手に決める事ができます。

昨今、「パスワードを使いまわすな」という事が重要になってきていますが、パスワード長の最大文字数が小さいところは、ユーザ側が「このサイトから漏れたらヤバいことになるかもしれない」という覚悟をもって使った方が良いです。私もそういうサイトを一つ知っていますが、ここのパスワードはまっさきに他と違うパスワードにしました（今は、パスワード管理ソフトを使ってますが）。

文字数だけでなく、文字の種類や並べ方でもパスワード破りの難易度は変わります。
例えば英小文字だけで、tokyodisneyland なんていう意味のある文字を15個ならべるよりも、意味もなく様々な種類の文字がランダムに混じっている、Fj3SiT6! なんていう8文字のパスワードのほうが破られにくいと考えられます。

お金が絡んでいるなどのセキュリティが非常に重要なサイトでなく 遊びをメインにしたものなら、変に長いパスにするより、「いろんな種類混ぜてね」と断りを入れた上で パスワードの強度判定を付けてあれば、8文字以内でもありかなと個人的に思います。（キャッシュカードの数字4桁より よっぽどまし^^;）

パスワード強度判定は下記のようなサイトでも調べられます。
http://www.benricho.org/password_meter/

パスワードの作り方としては、「意味のある文章の頭文字で作る」というのをウェブで知って、覚えやすくていいなあと思いました。
例えば「富士山世界遺産登録！」→「Fj3SiT6!」