Tenho uma página de entrada no concurso no site da minha empresa. Para participar do concurso, você cria um login, que é apenas um email e um alfinete de quatro dígitos. Aqui está o campo do PIN:

<input type="password" name="contest_pin" id="contest_pin" maxlength="4" />

Quando os usuários enviam o formulário, a conta é criada em nosso banco de dados e, em seguida, recebem um email (no qual eu sou copiado) que contém o endereço de email e o PIN que eles criara

Aqui está o problema: em todos os navegadores que testei (Safari / Chrome / Firefox no Mac, Chrome / Firefox no Linux, IE7 / 8/9 no Windows) NÃO POSSO inserir mais de 4 dígitos no campo PIN. No entanto, vários dos e-mails que recebi mostram que o usuário criou um alfinete com mais de quatro caracteres.

Como isso é possível? Existem navegadores que não suportam maxlength? Eu não testei no Opera ou em qualquer navegador móvel. Não é grande coisa se o alfinete tiver mais de 4 dígitos; o banco de dados aceitará mais. Só estou me perguntando como eles conseguiram contornar o comprimento máxim

EDITED PARA ADICIONAR

Existem muitas respostas basicamente dizendo a mesma coisa para eu responder individualmente a todas elas. SEI que sempre devo fazer a validação do lado do servidor para qualquer coisa importante, e temos código PHP em vigor para higienizar nossos dados e, se isso fosse extremamente importante, eu também teria código PHP impondo o limite de 4 dígitos. Não é tão importante para nós que eles tenham apenas 4 caracteres, então eu não o forcei. Estou apenas me perguntando por que a propriedade maxlength não está fazendo o que foi projetada, o que evita que os usuários insiram mais do que um certo número de caracteres. Para aqueles que sugeriram scripts maliciosos ou Firebug, posso estar 100% certo de que esse não é o caso. Somente usuários registrados em nosso site (limitado a uma lista corporativa muito específica de membros) podem acessar a página de inscrição do concurso, e posso garantir que nenhuma das cerca de 100 pessoas nessa lista tentará deliberadamente burlar um propriedade do tipo de entrada.