Acc. ... c'è anche Passwordd
Il FORM se non gli specifichi l' ACTION indirizza alla pagina medesima del FORM, e questo può anche essere, ma se non specifichi il METHOD questo di default diventa Get e quindi le variabili di username e password, che dovrebbe rimanere celata, ti vengono appese all' URL in bella vista.

Poi anche l' header in caso di autenticazione avvenuta, che senso ha che reindirizza a una pagina .html che non può funzionare con le variabili di sessione?

Semplifica per imparare: comincia a fare un lavoro SOLO CON PASSWORD di autenticazione, senza username.
Lascia perdere i fogli di stile, ecc. . Fai "una roba" come ai tempi di HTML 3.