Perché non usi semplicemente
[a-z0-9]{8,11}

se ti trova una corrispondenza la password è ok, altrimenti no.