Паролите се хешират и проверяват на сървъра (PHP password_hash), а не в браузъра. За пълна защита при пренос на данни отворете сайта през HTTPS (не обикновено HTTP).