SagePtr

Сначала проверять на null, а только потом выполнять guess = guess.toLowerCase();

Через localStorage в таком случае лучше делать. Смысла в куки, которые используются только на клиенте, не особо вижу.

if (course = 0)
как минимум, здесь ошибка, сравнение в JS пишется как == или === (в зависимости от строгости), а одиночный знак равенства - это присваивание

В форме можно в action воткнуть mailto:-URI Тогда при попытке отправки такой формы запустится установленный по умолчанию почтовый клиент, которого может вообще не быть на компьютере пользователя, или он может быть не сконфигурирован. Возможно, современные браузеры давно уже не поддерживают такое безобразие, потому использовать не стоит.

К примеру, эту соль хранить в самом хэше

Потому что в настройках подключаемого яваскрипта на jsfiddle указано Load type = onLoad, а значит, этот яваскрипт будет завёрнут в функцию onload (и функции, объявленные там, будут локальны, а не глобальны)

А смысл? Юзер припишет в хроме к адресу сайта view-source:, и вся защита псу под хвост.

Начиная с определённой версии, npm не вкладывает папки node_modules друг в друга, а хранит зависимые пакеты в корне node_modules. Вкладывает только в том случае, если несколько пакетов требуют один и тот же пакет, но разных версий.

console.time('my_timer');
// .....
console.timeEnd('my_timer');

На стороне сервера в любом случае какая-нибудь проверка должна тоже быть. Запросы легко подделать.

Да, для парсинга POST-запросов в питоне есть модуль cgi. Для кодирования в json есть модуль json.

Или даже проще:

$(document).ready(function() {
   $('input[type="file"]').change(function () {
        var file = this.files; //Files[0] = 1st file
        if (file[0])
          $('.preview').attr('src', URL.createObjectURL(file[0]));
    });
});

В древних браузерах может не работать.