Core menyediakan kontrol akses dinamis, CSRF, session fingerprint, path guard, brute-force tracking, private storage, dan validasi paket. Fitur ini adalah lapisan, bukan jaminan keamanan deployment.
Autentikasi dan dashboard
PHP dashboard berada di luar web root dan hanya dicapai lewat router pada admin_path. Path yang salah dimasking sebagai frontend 404. Login memakai CSRF, password hash PHP, dan proteksi percobaan yang dapat dikonfigurasi. Path tersembunyi mengurangi noise pemindaian, tetapi tidak menggantikan password unik, rate limiting proxy, atau MFA dari integrasi tambahan.
Session dan HTTPS
Cookie dapat memakai HttpOnly, SameSite, domain/path, dan Secure sesuai konfigurasi. Set FORCE_HTTPS=1 hanya setelah proxy/web server meneruskan status HTTPS dengan benar. Lindungi cfg/.env, secret session, secret token file, dan kredensial database.
Otorisasi
Gunakan least privilege. Site Owner adalah batas tambahan bagi operasi kritis; admin biasa tidak identik dengan owner. Permission, scope, kepemilikan, status akun, dan guard route diperiksa server-side. Plugin ACL menambah syarat, bukan melewati guard Core.
Aset dan operasi
Private asset harus berada pada private disk dengan scope tepat. Token viewer PDF bersifat sementara dan bukan tautan publik. Update hanya dari endpoint/paket tepercaya, periksa checksum/manifest, dan buat backup teruji. Patch PHP, database, web server, theme, serta plugin secara rutin. Pantau error log dan audit authorization tanpa menyimpan secret ke log.