Estoy creando una extensión de Chrome para autocompletar el nombre de usuario y la contraseña de un sitio específico, "example.com". Me gustaría hacer TODO localizado para evitar cualquier problema de seguridad. Mi proceso es el siguiente:

• en la página Opciones, el usuario puede ingresar el nombre de usuario/contraseña, que se guarda en chrome.storage.local
• en "example.com", la extensión autocompleta el nombre de usuario y la contraseña con chrome.storage.local.get(() => ...)

¿Cuáles son las preocupaciones de seguridad de esto?

lo que he considerado

estoy preocupado por

1. Chrome dice que storage.local no es seguro, pero no proporciona razones. ¿Responsabilidad?
2. Chrome también dice que storage.local es único por extensión/sitio de Chrome. Entonces, la ÚNICA forma en que un atacante puede robar una contraseña es hackearme a mí y/o mi código fuente, e introducir cambios maliciosos en mi extensión, ¿correcto? (si hay alguna otra forma, es definitivamente imposible)
3. Idealmente, tendría que cifrar la contraseña/nombre de usuario, por ejemplo, con AES-256. Pero si todo es local, hay una clave maestra (que cualquier atacante podría encontrar) o una clave única que se almacena "de forma segura en algún lugar" de la aplicación, tal vez creada durante la instalación. << pero donde guardar eso? Si hay un "lugar seguro" en la aplicación, solo debo poner la contraseña/nombre de usuario allí.

Me gustaría hacer esto sin un servidor, sin embargo, si eso no es posible, estoy abierto a sugerencias.