Ciao Kol, o dio! non proprio! è un piccolo cms indipendente dotato di database sqlite suo, i file caricati direttamente nella sua cartella 

Alcuni punti di forza:

• Programmare quando restare attivo il contenuto, tramite data e ora (puoi decidere se nascondere solo il contenuto e lasciare il titolo visibile o nascondere entrambi).
• Puoi avere l'effetto vetro sulle immagini di sfondo;
• Si possono inserire i font di google;
• Si può caricare un immagine e se è troppo grande ti comparirà una un box per ridurla o lasciarla alle dimensioni origginali;
• Puoi gestire i file caricati da inserire nel blocco (PDF, JPG, PNG, WORD e ecc);
• Si ha una cronologia di ciò che hai fatto per ripristinare in caso di errore;
• Backup del database;
• Le schede possono essere personalizzate interamente e salvarle come modelli per la volta successiva;
• Cè l'anteprima che ti permette di vedere cosa vedranno gli utenti;
• Puoi aggiornare tutto via browser e da qualsiasi dispositivo perche è responsive;
• Sicurezza, API protette da token e file .htaccess per database;

A breve lo pubblichero! 

Ciao Domenico, ho dato un'occhiata approfondita al tuo progetto. Secondo me ti sei allargato davvero tanto rispetto all'obiettivo iniziale (gestire dei semplici volantini). Personalmente avrei optato per un approccio molto più semplice e diretto.

La procedura iniziale a mio giudizio è parecchio macchinosa: richiedi di aprire i file e cambiare manualmente le stringhe/token a righe specifiche (X e Y), creare gli slug corrispondenti, impostare ID univoci a mano e incastrare blocchi di codice negli Oggetti HTML di WebSite X5 (sia nelle pagine pubbliche che in quella protetta). In un flusso del genere basta un solo carattere sbagliato per far saltare l'intero script. La mia alternativa: Avrei preferito caricare via FTP una cartella "chiavi in mano" direttamente sul server. Zero configurazioni manuali nel codice, zero ID univoci da inventare e zero rischi che l'utente finale rompa lo script.

Come hai specificato utilizzi SQlite OK. L'uso di SQLite evita la creazione di tabelle via phpMyAdmin rispetto a MySQL, ma porta con sé un vincolo: richiede l'estensione PDO_SQLITE attiva sul server PHP. Se un hosting economico non ce l'ha abilitata di default, lo script va subito in errore interno (HTTP 500) senza spiegazioni.

TOKEN! Fai attenzione a un passaggio: indichi di cambiare il CMS_TOKEN prima di andare online e sincronizzarlo tra backend e admin.html. Qui c'è un problema di architettura: il tuo Admin da 2.775 righe è un file HTML/JavaScript statico, non una pagina PHP protetta da sessioni server-side. Essendo inviato in chiaro al browser, il CMS_TOKEN risiede visibile nel codice JavaScript client-side. Chiunque apra gli Strumenti per Sviluppatori (F12) su admin.html può leggere il token in chiaro e usarlo per inviare chiamate API dirette ad api.php, modificando o cancellando contenuti.

Gestione CSS. Analizzando il CSS si nota una quantità enorme di funzionalità: Editor WYSIWYG personalizzato, Font Picker, File Manager drag-and-drop, programmazione temporale dei contenuti, layout/bordi/ombre e gestione modali con cronologia. A questo CSS va sommato tutto il JavaScript dell'interfaccia. Incollare migliaia di righe di codice dentro un Oggetto HTML di WebSite X5 appesantisce tantissimo il progetto nel programma. Inoltre, l'uso massiccio del !important su quasi ogni regola CSS dimostra come il pannello debba "difendersi" dagli stili del tema di X5 per non farsi sovrascrivere. Infine, caricare la logica dell'admin direttamente nel frontend del sito espone inutilmente script e stili di gestione anche ai semplici visitatori.

In tema di sicurezza non posso che apprezzare l'ottimo lavoro sul file .htaccess che è fatto molto bene! Si nota un'ottima attenzione alla sicurezza di base:

• Protezione SQLite: Blocca l'accesso diretto ai file .sqlite, .sqlite3 e .db.
• Blocco Indexing: Options -Indexes impedisce di mostrare il contenuto delle cartelle.
• Protezione config: Impedisce la chiamata diretta a config.php e db.php.
• Retrocompatibilità: Gestisce sia le direttive Apache 2.4 che quelle più datate (2.2).

Due suggerimenti di miglioramento sul server:

1. Posizione del Database: Affidare la protezione di SQLite solo all'.htaccess è rischioso (se il sito viene spostato su Nginx o se AllowOverride è disabilitato, il database diventa scaricabile). La best practice sarebbe posizionare il file SQLite fuori dalla cartella pubblica (public_html o www).

2. Sicurezza Upload: Manca una regola per bloccare l'esecuzione di file script dentro la cartella dei file caricati (/uploads). Se un malintenzionato riuscisse a caricare uno script PHP tramite il file manager, il server lo eseguirà.

Caro Domenico hai fatto un lavoro imponente e ammirevole per provare a trasformare WebSite X5 in un CMS dinamico, ma al prezzo di una complessità elevata e di un codice molto ridondante per aggirare i limiti nativi del programma.

Un ultimo consiglio metodologico: Separa nettamente la logica del tuo applicativo da WebSite X5. Creare un modulo esterno e indipendente ti permetterà di installarlo rapidamente su qualsiasi sito e dominio, senza dover toccare il codice interno di X5.

Ora, al di là delle diversità delle tecniche che ogni programmatore può utilizzare — che non sono mai né uniche né esclusive, perché il codice è un po' come la matematica e per arrivare allo stesso risultato esistono mille strade diverse — va detto che hai fatto un lavorone enorme. Io so bene cosa significa stare dietro a strutture e situazioni così complesse, e l'impegno che ci hai messo si vede tutto! Di nuovo Bravo. 

Roberto ciao! Prova questo qui versione avanzata 

Ciao Domenico. Ho letto la guida e devo riconoscere che rispetto alla versione con token statico hai corretto diversi aspetti importanti:

• password hashata tramite password_hash();
• autenticazione basata su sessione;
• separazione tra API amministrative e API pubbliche;
• utilizzo di SQLite invece di file JSON sparsi;
• protezione tramite .htaccess;
• gestione upload più strutturata.

Quindi, almeno sulla carta, il livello di sicurezza appare decisamente superiore rispetto alla versione che avevo provato.

Detto questo, il mio punto critico non riguarda più la sicurezza ma l'approccio progettuale.

Leggendo la procedura vedo ancora una serie di operazioni che richiedono interventi manuali:

• accesso FTP;
• caricamento file;
• modifica di file PHP;
• generazione manuale dell'hash della password;
• modifica del config.php;
• configurazione di admin.html;
• configurazione di blocco-pubblico.html;
• gestione degli slug;
• gestione degli ID univoci;
• copia e incolla di più blocchi;
• attenzione a non creare conflitti tra contenitori.

Per uno sviluppatore sono attività relativamente semplici e richiedono pochi minuti. Per un cliente finale, invece, rappresentano già un livello di complessità che personalmente cerco sempre di evitare.

Nei miei progetti seguo una filosofia diversa: installo → apro il pannello → configuro → utilizzo.

L'utente non dovrebbe dover modificare file, conoscere percorsi, sapere cos'è un hash o preoccuparsi di identificativi univoci. Anzi, dal mio punto di vista:

• l'hash dovrebbe essere generato automaticamente;
• eventuali file temporanei dovrebbero essere creati e rimossi automaticamente;
• la password dovrebbe essere impostata dal pannello al primo accesso;
• le configurazioni dovrebbero essere salvate tramite interfaccia;
• i blocchi dovrebbero essere creati e collegati senza richiedere modifiche al codice.

In altre parole, vedo ancora una fase di "assemblaggio" che considero più adatta a uno sviluppatore che realizza progetti personalizzati che non a un prodotto realmente orientato al cliente finale.

È probabilmente una differenza di filosofia: io negli ultimi anni sto cercando di eliminare qualsiasi passaggio tecnico che richieda l'accesso ai file del sito, perché nella mia esperienza più configurazione manuale significa più possibilità di errore, più richieste di assistenza e maggiore dipendenza dallo sviluppatore.

Per questo motivo, pur apprezzando i miglioramenti introdotti, continuo a preferire soluzioni completamente configurabili da pannello e già operative dopo l'installazione. È un approccio che con i miei clienti si è sempre rivelato più efficace.