Null-byte, double-extension (.php.jpg), path traversal, probe .env/.git, dan SSTI diblokir 403 sejak request pertama.
Brute-force /login dikunci bertingkat, reset otomatis setelah login sukses.
IP atau perangkat (device_id) yang melewati ambang dikarantina otomatis.
Avatar & thumbnail divalidasi MIME + ekstensi + ukuran; webshell ditolak sebelum tersimpan.
Baseline integritas, pemindaian webshell, dan dasbor log tersedia untuk admin.