Tengo una pequeña aplicación web que necesita guardar varios secretos adicionales (no cubiertos por un envío de inicio de sesión de formulario normal). Quiero almacenarlos usando history.pushState(), pero antes de hacerlo, quería tener una idea de qué tan seguro es por parte de los profesionales aquí.

MDN dice que el estado solo está disponible para la URL que los empujó. Así que suena provisionalmente bien.

¿Alguna advertencia aquí, o razones por las que esto es una mala idea? ¿Hay mejores alternativas?

¡Gracias!