パスワード用途以外にinput要素のtype="password"を使うのは間違っていない

入力した値を不明瞭（obscure）にするとしか書かれておらず、このすぐ後にログインパスワードで使うコード例が掲載されているものの、パスワード以外での使用については明言されていません。

要約すると、重要なのは以下の2点です。

• 機能としては type=text に似ている
• アスタリスクなどの文字で表示され、パスワードを入力するときに覗き見から隠される

when entering passwordsとあるように、パスワード入力のためと書かれていますね。

HTML 3.2 と異なりfor sensitive input such as passwordsと、パスワードに限らずセンシティブな情報に対して使えると明記されました。

type属性のキーワードと状態を示した表では、type="password" はText with no line breaks (sensitive information)と説明されており、 HTML 4.01 と同じく（パスワードに限らず）センシティブな情報に対して使えると理解できます。

また Password state の本文には、以下のように「ユーザーエージェントは値を不明瞭（obscure）にすべき」以外の指示や制約は書かれていません。

ただし obscure 化には新しい条件が加えられ、値を見ることができないのはユーザー以外（other than the user）とされました。たとえば Internet Explorer 10 以降はパスワード表示ボタン[1]を押すことにより、入力値を確認することができますが、そういうブラウザの挙動も仕様的に問題ないと言えます。

HTML仕様的には、type="password" はパスワードに限らずセンシティブな情報全般に使えると理解できます。

• HTML 3.2 の仕様書ではパスワードのみに使うような書き方がされていますが、あくまで表現の問題でそれ以外の用途を禁止しているものではないこと、またそもそもそんな古い時代の仕様を参照する必要はないでしょう。

とはいえ、パスワードにしろセキュリティコードにしろ、センシティブな情報を取り扱うからにはブラウザの挙動を知ることも重要であり、元記事で指摘されているような Chrome の挙動も考えると、センシティブだからと何でも type="password" にしてしまうのではなく慎重な判断をする必要がありそうです。難しいですね。