パスワードの文字数上限が少ないサイトが現存する理由を教えてください。

疑問に思った経緯

私はパスワードの使い回しを防ぐために全てのサイトで同じパスワードにならないよう注意しています。

特定のルールに基づくことで、忘れていても大きな問題が発生しません。
ルールを把握している私個人はパスワードを覚えていなくても、その場で算出できるようにしています。

某大手サイトでパスワード設定を行う際に文字数上限が12文字でした。
それが原因でルールに基づいたパスワードが作成できませんでした。

疑問の内容

下記の理由以外で、少ない文字数上限が何故現代でも活用されているのか伺いたいです。

調べたこと

軽く調べたところ下記の理由があると思っています。
・システムそのものが古いものから更新されていない(アルゴリズムがcrypt？など)
・ハッシュ化のコストを抑えるため
↑これは128文字以下など、12文字よりは文字数が大きくても成立するのでは？と思っています。

追記

意見交換にしていしまいましたが、Q&Aです。
誤解を招いてしまった場合は申し訳ないです。