Você teria feito como
Caso for uma aplicação critica: não faria, autenticação pra ser relativamente segura só com cookies httponly
Caso for uma aplicação sem muita relevancia (algo só pra acessar determinadas visualizações, sem operações destrutivas) um token JWT de curta duração.
Mas porque autenticação sem backend?
No Neocities, por ser um lugarzinho fofo pra você hospedar um site simples usando HTML/CSS/JS, ele não te deixa ter acesso a um backend e nem a funções serverless (como o Netlify por exemplo)..
Eu cheguei a dar uma olhada, eles não usam linguagens padrões pra backend e tals, usam o mínimo pra não pesar, pra rodar sites estáticos e afins. Foi um baita tiro certeiro no escuro quando decidi usar o firebase de banco de dados, porque foi o único banco que conseguiu firmar conexão nessa joça.
E a ideia que eles buscam com essa hospedagem gratuita e basiquinha é trazer aquela "Internet antiga" (não vivi bem essa época/não lembro). Pode ver que tem bastante site foda feito com puro html, CSS e quase nada de JS.. Tem uma pessoal bem hardcore lá.
No meu post do chat, o primeiro site que criei no Neocities usando o firebase, eu explico mais sobre a conexão e um pouquinho sobre o Neocities.. E lá, no chat, a segurança é um pouquinho 🤏 melhor.