SagePtr

Проверить, если значения нет (оно === undefined) - то присвоить его

Да, в socket.io прямо готовый пример чата есть, можно взять его и перепилить

Не обязательно. Субдомен вполне может указывать на подпапку на том же сайте, к примеру. Либо на тот же сайт (но в скрипте проверяться субдомен и в зависимости от него что-нибудь изменяться, к примеру, язык сайта)

Потому что в таком случае пропадёт весь смысл CSRF-токена

Как вариант, зашифровать страницу симметричным шифром, а после ввода пароля расшифровать с его помощью.

Открою страшную тайну, но в разных браузерах и на разных ОС шрифт тоже будет отображаться по разному.

canvas не умеет рисовать html-код

В хексе через \uXXXX

Вызов-то асинхронный, потому значения у переменной ccc не будет (ну или будет явно не то, что ожидаете). Ловите в функции callback и там делайте нужное.

Накрылась ваша картинка, перезалейте на нормальный хост

"Безопастные" - это не содержащие пасту?)

Будет использована глобальная переменная. С виду не заметите этого, но однажды наступите на грабли, когда дважды задействуете эту глобальную переменную и будете удивляться, почему её значение перезаписывается. Так что всегда объявляйте локальные переменные, даже если Ваш код никто не будет читать или использовать в своих проектах.
Гадить в глобальной области видимости - дурная практика, за это побьют канделябром.

Использование !important говорит о кривой структуре, когда приходится так извращаться, чтобы перебить другой стиль.

Может быть, переменная contentId не определена?

В хроме точно не установлено вредоносных расширений?

evercookie не менее легко обходятся

Замените в последней строке eval на console.log и поглядите, что он выведет в консоль