Сайт на HTML более защищен чем сайт на PHP

Прокладка прокладке - рознь. В pma/pgadmin вы практически любой запрос можете выполнить, войти под условным рутом. Подобные админки если и устанавливать, то только на loopback-интерфейс сервера. Или прямо на локальный компьютер 😀

Кстати, с обычными админками я часто точно так же поступаю. Правда, у меня это обычно "тонкие клиенты", использующие аутентификационные данные СУБД, хотя вход под именем условного рута блокируется.

Кстати, посмотрел документацию на эти админки. Тоже можно заблокировать вход под рутом.

Ну и где ты достанешь пароль рута?

А ещё есть такая штука как VPN. Можно открыть доступ только для IP VPN и не городить никакие схемы с управлением БД с локального компьютера.

Сломанный телефон =)) phpMyAdmin открытый в мир (а это важное условие) выступает в роли точки проникновение, вы сами это подтверждаете

Единственно верное решение не ставить его на продакшен среду вообще и вот этого всего не надо будет, работать в том числе с БД можно и удобно и безопасно.
При том никто вменяемо ответить и не смог зачем им этот phpMyAdmin постоянно весящий шелом наружу, все какие то отписки из разряда "случаи всякие бывают" 

Если у вас phpMyAdmin открытый в мир, то у вас действительно точка проникновения.
Просто закрыть не пробовали?

Никак, одинаково

О боже! Базовая аутентификация, Apache (httpd) 😂

На самом деле любой стек имеет право на жизнь. Применительно к pma здесь писали о двух вещах:

• многие ее не используют просто за ненадобностью;
• не должна "смотреть в мир" напрямую любая подобная админка и СУБД (можно защищать каналы, но не так, как вы предложили).