se la pwd è memorizzata sul server è difficile rilevarla se invece si basa su JS è solo questione di trovare uno bravo, il grado di sicurezza lo devi sapere tu.