Alors, première chose à faire, activer le safe_mode, si on peut s'en passer, le safe_mode est une sécurité importante pour empêcher les scripts d'exécuter, par exemple, n'importe quelle commande système avec les droits du serveur web (et donc de profiter de failles).



Ensuite, il n'est pas non plus mauvais de cacher l'existence de PHP sur le serveur:



Si on cache l'existence de PHP, il vaut aussi mieux ne pas afficher les erreurs provoquées par les scripts mais les sauver dans un log. En effet, dans un environnement de production, il ne faut en théorie plus avoir d'erreur mais ne garder cette option que pour le serveur de développement:



Depuis de nombreuses versions, les options de PHP désactivent par défaut la création de variables contenant les valeurs de l'URL (Ex: index.php?page=plop crée la variable $page). Néanmoins, il est bon de vérifier que cette option est bien désactivée pour empêcher des attaques.



Si vous utilisez une base de donnée, ce qui est probablement le cas, il faut aussi activer le magic quotes, qui consiste à ajouter un caractère d'échappement à chaque caractère spécial pour empêcher des modifications de vos requêtes (SQL Injection)