Как обезопасить систему с полным клиентским доступом к HTML?
Если вы даете полный доступ, что мешает злоумышленнику показать страницу «пожалуйста, в целях безопасности введите свой пароль заново»? Или установить на странице комплект вредоносных программ, внедряющихся в систему при открытии страницы за счет уязвимости в браузере?

Даже технически грамотного пользователя можно поймать на этом.
HTTPS и клиентские сертификаты. Аутентификация по сертификату (защита от кражи — можно хоть токены использовать), в результате чего получаем уникальный идентификатор пользователя — commonName из сертификата. При проверке прав (авторизации) привязывайтесь к commonName.

Общая аутентификация будет хоть на нескольких несвязанных доменах, и им даже иметь какую-то общую базу необязательно — общим на них будет только корневой сертификат вашего ЦС, которым подписаны все сертификаты клиентов.

Пароли в принципе тоже не обязательны, можно внедрить — тогда общая база будет нужна, а аутентификация получится двухфакторая.