Cada valor por defecto de un CMS es una decisión que alguien tomó. Casi todas se heredan, copiadas de un código de quince años y nunca revisadas. Aquí se escribieron primero: qué puede hacer una petición, qué puede guardar una sesión, qué puede imprimir una plantilla.

Qué cambia «estricto por defecto»

Una página se genera con datos validados, no con datos deseados. La salida se escapa salvo que una plantilla pida lo contrario, en un solo sitio y a propósito. Nada de una petición llega al sistema de archivos sin un nombre comprobado contra lo que existe de verdad.

La seguridad no es una función que se añade. Es lo que queda cuando quitas todo lo que no puedes justificar.

El resultado es un sitio que se comporta igual el primer día y el día cuatrocientos, porque nada se ha desviado: ninguna actualización de plugin cambió un comportamiento, ningún tema trajo un script de otro sitio.