Cuando las credenciales son incorrectas, el servidor le devuelve una página que contiene el nombre de usuario y quizás también la contraseña. Esto se debe hacer con https y los encabezados de almacenamiento en caché pidiendo que no se almacenen, pero existe la posibilidad de que la página de error que se envió con la contraseña proporcionada en la fuente se almacene en algún lugar (caché del navegador, un intermediario proxy ...).
Cuando hay un inicio de sesión asíncrono, la página en sí no se vuelve a cargar y, por lo tanto, este problema no se produce.
Con un formulario de inicio de sesión, casi siempre desea borrar la contraseña, ya que el usuario tendrá que volver a escribirla de todas formas ya que estaba equivocada (y es poco probable que sepa cuál fue su error tipográfico).
El debate sobre si el campo de la contraseña suele estar en blanco o no en blanco, se produce cuando se trata del formulario de registro. Ahí es probable que un campo no relacionado sea rechazado (por ejemplo, nombre de usuario tomado) y el usuario debe proporcionar un nuevo nombre de usuario (que puede no estar disponible, tampoco) y la contraseña y la confirmación de la contraseña. Eso hace que una UI desagradable. Y allí hay diferentes opiniones sobre qué vino debería.
