Сайт на HTML более защищен чем сайт на PHP

Страшный дизайн тоже для защиты? Чтобы людей отпугивать? Это страшнее, чем северо-корейские, монгольские и т.п. сайты. К корейцам, монголам и т.п. отношусь с большим уважением. Среди монголов есть очень крутые дизайнеры. Среди северо-корейцев, наверняка, тоже. Просто не знаю.

Какой CDN, какие Jam 😂 Не пугай ТСа, он и слов таких не знает. У меня тоже Реакт приложение отдается пользователю в виде статики с  S3 bucket, но это не значит же что все написано на HTML)

А вообще ты тут ввязался в неравный бой. 95% тут вообще не понимают, о чем ты! Какая безопасность для того, кто может быстренько поправить что-то на продовом сервере или считает нормальным обновляться по FTP? Ты серьезно. Искренне верят что на любой ВПС должна стоять панель управления и что без нее никак? Проигрышное дело) 

Мне даже дико представить, что в продовскую базу можно войти через внешку вообще как-то, не говоря про всякие пхпадмины. Да мне даже сложно представить, что там можно что-то делать ручками. Миграции накатывать? Так нужно руки отрывать сразу за такое. 

Искренне смеялся, топик для поднятия самооценки

Я бы не был столь категоричным. Да, в наши времена ботов, это довольно экстремально, и лучше бы прикрывать VPNом и/или файрволом, но вполне может иметь место. Не всегда есть (финансовая например) возможность всё пустить через DTO,и API. Да и распределенные репликации никто не отменял.

Ну и кстати, Вы уверены, что прямо сейчас ни один Ваш маршрутизатор не форвардид порт на сервера с БД и вообще файрволы работают как надо? Есть уверенность, что завтра ничего не слетит например?

Админка или средство импорта - удалённое десткоп приложение?

Используйте SSH-туннель, если на сервере нет подходящего API, который бы легко включался/выключался.

Мне не нравится. Та же индексная страница как минимум для корня. Хотя можно "спрятать" (использовать отличное от index.html имя). Хотя для SPA... может быть.

Для прода? 

вот вообще не понял - у меня никаких index.html наружу не торчит и никогда не торчал. ПРичем в данном случае это прекрасно разруливает сам Amazon - даже думать не приходится на эту тему

Да, понимаю, что некошерно, но почему бы и нет?

Встречный вопрос - зачем? За последние 2 года нам, девелоперам, понадобился доступ в продовую базу только 1 раз - когда мы как раз выходили в прод и не успели написать скрипт для миграций. Пришлось просить доступ в виде исключения, под 2-мя ВПН и дали его на 4 часа всего. 

А чтоб база торчала наружу, нуу....  для меня это какой-то параллельный мир. Чисто поиграться, с тестовой базой, которую не жалко