Спасибо за разбор, реально помогло начать понимать, что просто HTTPS и пароль – это уже мало. Теперь попробую хоть базовые заголовки безопасности поставить, а то совсем забивал на это раньше. Насчёт обновлений — точно, буду следить, чтобы такие дыры не появлялись. Хотя бы самый минимум теперь хочется делать, чтоб не было потом проблем.