как обезопасить сайт?

Фильтровать любые данные которые могут идти от пользователя (содержимое форм, url)

Предусмотреть защиту от mysql-инъекции, во-первых.

Во вторых - вырезать теги и ненормальные символы из того, что потом будет отображаться на экране. Это чтоб админскую куку не спёрли :)

Использовать сложные пароли. Не светить пароли. Не запоминать пароли от ftp в программах Total Commander, CuteFTP и пр.

Если на сайте есть скрипты, которые находятся в свободном доступе, то: Следить за обновлениями скриптов, закрывать админки, файлы конфигурации и пр. с помощью .htaccess.

установить соответствующие права доступа к файлам и папкам на сервере.