La sécurité n'est pas optionnelle.
HTTPS obligatoire
Certificat SSL, redirection 301.
Protection CSRF
Token de session unique par formulaire.
Échappement
htmlspecialchars systématique sur les sorties.
Validation serveur
Ne jamais faire confiance au client.