Melhor maneira de proteger o código do aplicativo do site

Existem algumas soluções técnicas para isso:

• Peça-lhes que apontem o domínio para o servidor e configure o servidor para aceitar tais solicitações; essa é uma alteração simples de DNS, mas significa que o domínio inteiro agora é executado em seu servidor.
• Peça-lhes que definam um proxy reverso que reescreva as solicitações desejadas no seu domínio. O Apache, por exemplo, tem módulos para isso (veja link ), incluindo filtros para reescrever URLs dentro os documentos que você atende; isso é meio chato de configurar, e não funciona para tudo, mas pode valer a pena dar uma chance - se funcionar, seu aplicativo será executado de maneira transparente sob o domínio deles, servido por meio de seus servidores, mas funcionando seus próprios servidores. A ideia básica é que o servidor corresponda as URLs de solicitação a um determinado padrão, encaminha-as para o servidor e, em seguida, altera as URLs na resposta recebida antes de enviá-las de volta ao cliente. (Basicamente, esta é a sua solução router.php, apenas no nível do servidor da Web, portanto, com menos problemas).
• Peça-lhes para colocarem um iframe na sua página, onde apenas colocam a sua página. Se o iframe tiver 100% de largura e altura, o usuário não verá a diferença (exceto que a navegação não altera o URL visível). Esta é de longe a solução mais fácil.
• Divida seu aplicativo em uma camada de serviço e um front-end. Entregue o front end, mas mantenha a camada de serviço no seu servidor. Desta forma, eles só podem fazer uso do seu serviço através do seu servidor; o front-end sem a camada de serviço é relativamente inútil.
• Instale e mantenha um servidor (físico ou virtual) em sua rede que executa seu aplicativo; configurá-lo para que eles não possam acessá-lo (senhas strongs, criptografia de disco inteiro, etc.).

Se você absolutamente não pode confiar que eles não sejam criminosos, então talvez você deva recusar a oferta e fazer seu dinheiro em outro lugar.

1. "www" é um subdomínio.
2. foo.yourclient.com/profile < - se os links forem todos relativos à raiz, não há nada a configurar. Caso contrário, defina isso para o BASE HREF.

A solução simples é gerenciar subdomínios, hospedar o software e comercializá-lo como uma solução SaaS. O único obstáculo pode ser a remoção do código em uma base de subdomínio para corresponder ao site principal deles.

Ou você pode seguir o caminho excessivamente complexo em que precisa implantar código ofuscado / compilado em seus servidores, corrigir problemas com a configuração dos servidores, coordenar com o pessoal de TI para atualizar o software, lidar com problemas de banco de dados em seus servidores , etc.

Ou você pode converter seu software em uma API e criar uma camada RESTful que seus clientes possam usar em um site que eles criam e mantêm.

Seria uma opção para eles usarem um subdomínio? Então:

Eles criam um subdomínio como: accounts.theirdomain.com e, no DNS, definem o IP do seu servidor. Você aceita essas solicitações e mostra os dados das contas deles.

Exemplo: link

Você pode proteger seu código com uma ferramenta como o Zend Guard, o IonCube ou algo semelhante. A maioria dos hosts que eu vi suportam o uso de scripts protegidos.

Distribua sua aplicação em uma máquina virtual que roda em VMWare ou VirtualBox ou algo semelhante. Tudo o que o seu cliente vê é um servidor virtual na sua rede. Tudo dentro só é acessível para você. Seu cliente precisa ser capaz de suportar a virtualização em seu ambiente de TI, mas isso está se tornando mais & mais comum nos dias de hoje.

Você terá que fazer alguma configuração extra, dependendo se eles suportam endereços IP fixos ou DHCP, se eles insistem em backups de dados e se eles precisam de certificados SSL instalados. Mas de qualquer forma, eles não precisam ver nada dentro da VM.