Jeder Standard in einem CMS ist eine Entscheidung, die jemand getroffen hat. Die meisten werden geerbt, aus einer fünfzehn Jahre alten Codebasis kopiert und nie überprüft. Hier wurden sie zuerst aufgeschrieben: was eine Anfrage tun darf, was eine Sitzung behalten darf, was ein Template ausgeben darf.

Was „streng nach Standard“ ändert

Eine Seite entsteht aus geprüften Daten, nicht aus erhofften. Die Ausgabe wird maskiert, außer ein Template verlangt es anders — an einer Stelle, absichtlich. Nichts aus einer Anfrage erreicht das Dateisystem ohne einen Namen, der gegen das geprüft wurde, was wirklich da ist.

Sicherheit ist keine Funktion, die man anschraubt. Sie ist das, was übrig bleibt, wenn man alles entfernt, was sich nicht rechtfertigen lässt.

Das Ergebnis ist eine Website, die sich am ersten und am vierhundertsten Tag gleich verhält, weil nichts abgedriftet ist: kein Plugin-Update hat ein Verhalten geändert, kein Theme hat ein Skript von woanders geholt.