La notion de "sécurité" est totalement différente de la notion de "sécurisation" tant à la mode actuellement.
Les mots de passe dit "complexes" ne le sont que pour nous humains. Un robot chercheur ne fait aucune différence entre les lettres "normales" et des signes plus ou moins cabalistiques.
Il faut bien comprendre qui recherche quoi. En fait le petit boutonneux derrière son écran qui essaye de te piquer tes données qui tu as toi-même téléchargé sur des sites accessibles à tout le monde, n'existe pratiquement pas. Il fait comme toi, il va sur les sites de téléchargement.
La grosse recherche est de réussir à entrer sur un serveur (ton syno en l’occurrence) pour y installer des choses douteuses comme des fonctions d'envois massifs de mails ou d'héberger des sites criminels à ton insu.
La meilleure protection est de ne pas permettre d'accès depuis internet. A partir de là si des accès sont quand même nécessaires, ne les réduire qu'au strict nécessaire en limitant au maximum les chemins d'accès (ports) et les personnes autorisées (identifs et MdP)
Il existe aussi un processus très efficace dans le syno qui consiste au blocage de l'IP du visiteur indésirable après 5 tentatives infructueuses en moins de 10mn par exemple.
Si le "cryptage" des données (https) est utile lors de transferts de courtes données sensibles comme les numéros de banques par exemple cela n'empêche nullement un escroc de pénétrer ta machine.