je to JS, těch chyb, které se dají zneužít má z principu více, důležité je nikdy nepoužívat autovyplňování formulářů (či přihlašování) a nemít uložené master heslo, což trochu zhoršuje použitelnost, snad udělají OTP lepší.
Osobně jsem přešel k keepass s tím, že mám vlastní plugin do prohlížeče, aby právě se lépe ovládal v systému a měl jsem nad ním lepší kontrolu, např. si chci auditovat, které údaje kdy poskytnul, triviální věc a přitom jí žádný správce hesel neposkytuje.
Cesta bude ještě dlouhá.