Сайт на HTML более защищен чем сайт на PHP

Правда думаешь, что говоря "я делаю сайты на html", ТС имеет ввиду подразумевает такое программирование на js?

Ага, и база в файлах :)

И ещё: "в принципе реализуемо " и "работает" (в самом широком смысле) - несколько разные вещи. Про целесообразность вообще заикаться не ловко.

Ты ж понимаешь, что я чисто теоретически рассуждаю? )

Вообще, имхо,  основная проблема будет именно в хранении новой информации - заказов там. 

Чистый js ничего не сможет сделать ни с базой, ни с файлами на сервере. Придется использовать внешку, не знаю на хероку задеплоить там, например. Чтоб на халяву.

У меня сайт-каталог тоже  на html. По ошибке 404 вижу, что постоянно долбят различные папки типа
/wp-login.php          /wp-content/themes/seotheme/db.php      /.well-known/assetlinks.json       /wp-admin/css/      /alfacgiapi/perl.alfa   и так далее.
Может, ТС имел ввиду, что его сайт просто таким методом боты не могут взломать?

Ну ты про костыли говорил. Можно через js позвать php, который уже сможет что надо.

Без бека ИМов быть не может в принципе. Где-то ж надо хранить постоянно меняющуюся инфу (это как минимум. а так там ещё много чего надо).

Хотя можно сделать "локальный бек" - на клиенте. Как бы страшно это не звучало, но я реально видел такие приложения для мобил.  Точнее видел "уроки" из серии "как сделать мобильный магазин за 10минут", но из описаний/комментов понял, что такие прилажухи продаются на эванто.

Php по условию тс нельзя использовать . По крайне мере на сервере магазина. Вот и говорю - меняющуюся на внешке хранить.

В голову Гугл таблицы почему-то сразу пришли ))

https://searchengines.guru/ru/forum/1028862 :)

И последняя на сегодня часть марлезонского балета https://searchengines.guru/ru/forum/1067488

Давным-давно, когда горы были высокими, а реки быстрыми на рэддите в забугорье случился мегаэпический ср... спор о том что является языком программирования а что нет. Был выдвинут небесспорный тезис что в какой-то мере и css язык програмирования. Оппоненты высмеяли этот тезис и предложили написать на html+css ИМ. Без js разумеется (точнее один js  разрешили по условию спора - скрипт стороннего платёжного сервиса). Так вот - умельцы отстаивающие первую точку зрения таки написали ИМ. Правда функциональность была так скажем не на высоте и на много страниц продолжился уже спор считать это ИМ или нет - а про что является языком программирования все уже забыли :)

Что взламывать, если сайт на HTML?

Логины, пароли, базы данных. Их же нет.

У сервера все равно есть. Ну чисто для лома под ссылки или какого-никакого фишинга ИМ, если траф есть. Ну чисто теоретически.