Darüber hatte ich auch schon mal nachgedacht. Wenn der Server nicht zuhause stehen kann, könnte man es vlt. im Browser mit dem Passwort des Users ver- und entschlüsseln z. B. mit crypto-js. Das wäre dann wirklich Ende-zu-Ende. Und die Webseite an sich macht man komplett in Ajax.
Aber das ist bisher nur eine Idee.