Безопасно ли держать все сайты на одном хостинге?

тоже верно.

степень пароноидальности решений должна зависеть от ценности хранимой информации.

+ нужно помнить, что практически ЛЮБУЮ систему можно взломать тем или иным способом.

например если вы храните файлик в котором записываете что заняли у тёти Веры из соседнего подъезда 100 рублей - то похититель не получит никакой пользы от похищения его, вы же можете получить выгоду: "тёть Вера, хакеры похитили файл с долгами, поэтому я ничего возвращать не буду, т.к. не знаю сумму которую надо возвращать".

а если хранится "чёрная" бухгалтерия Газпрома,? или база данных на 20 000 клиентов со всеми контактами, с индивидуальными условиями поставки, скидками и прочим...

Доступ к по соседству лежащим сайтам, как правило, осуществляется через уязвимости в коде сайта, а не через взлом непосредственно unix-учетки. Изоляция виртуальных хостов на VPS исключит больший процент потенциальных угроз:

<VirtualHost *:80>

    ServerName site.ru



    DocumentRoot /var/www/site.ru/html



    php_admin_value open_basedir /var/www/site.ru

    php_admin_value upload_tmp_dir /var/www/site.ru/tmp

    php_admin_value session.save_path /var/www/site.ru/tmp

    ...

Если PHP работает от пользователя и шелл функции в нём отключены, то достаточно одной стороки:

(другие 2 бесполезны, файлы с правами 0600)

PS> Вообще есть конечно хостеры которые дают больше гарантий - делают несколько бекапов, но тем не менее все они как правило в одном ДЦ, что опять-же не даёт большую гарантию при случае если там например будет взрыв :)

Дык если указать open_basedir, то пхп обломится создать что-либо (файл сессии, upload-файл и т.п.) в /tmp (ну или C:\Windows\Temp или как там), поэтому я и показал, что для виртуального хоста создается спец. папка tmp, входящая в поле действия open_basedir. Иногда еще дополнительно нужно ЦМС под это дело подпилить чутка, к примеру, в конфиге Вордпресса добавить

define('WP_TEMP_DIR', ini_get('upload_tmp_dir'));

чтобы он юзал эту чрутнутую tmp.

а я вход руту всегда запрещаю.

Вопрос того, где размещаются сайты - последний в списке того, что нужно предпринять для безопасности. Как правильно заметил hvosting, случаев взлома сайта через дыру в CMS - от силы несколько процентов. Лучше подумайте где и как Вы хрините пароли на домашней машине.

У нас на хостинге вообще запрещен FTP и разрешен только SFTP - за полтора года ни одного взлома, что говорит о том, откуда берутся взломы :) Так что берите нормальный FTP-клиент и храните пароли в каком-нибудь кипасе, а лучше на бумажке.