Mon ami développant son CMS perso me parle de son « idée révolutionnaire pour pouvoir aider les utilisateurs à l'administration sans avoir à connaître leur mot de passe » :
Intrigué, je regarde ça, et je trouve ceci dans admin.php :

if($loginadmin == 'admin' AND $passadmin == 'pass-bidon-mais-bon')
{
    var $true = 'bypass';
    var $admin = $true;
}

Lorsque je lui parle des gros problèmes de sécurité que peuvent causer son système, il me dit que comme le code PHP ne s'affichera pas côté visiteur, cela ne pourra pas poser de problème.
Même en lui rappelant qu'il compte le proposer au téléchargement gratuitement et libre, cela ne change rien car « de toute façon, personne ne va aller regarder le code source ». PEBKAC.