que se hace primero? action o onClick?

[RoaDRuNneR]

Gracias por las respuestas, me han sido muy útiles, sin embargo, ahora tengo una duda respecto a lo del javascript. Suponiendo que utilice la opción de Fridureiks entonces cuando el usuario no tenga habilitado javascript la contraseña se almacenará sin encriptar, y si ese usuario entra desde otro sitio donde si esté habilitado, su contraseña no será la misma (puesto que en la base de datos estará sin encriptar, y el login la envía también encriptada). ¿Cuál es la mejor manera para manejar las contraseñas? Porque en un entorno no seguro, otra persona podría ver el envío de contraseñas, por lo que decidí encriptarlas con un javascript, pero aparece el problema planteado. La otra opción es encriptar la contraseña en el script php. ¿Entonces? ¿Cuál es la mejor manera de abordar esto?