Олег

Вы точно не путаете двухфакторку с пин защитой ?

Сперва стоит понять нужно ли что-то подобное для вашего сайта.
Если клиенты вашего сайта вынуждены работать с ним с пк, к которому может подойти посторонний человек.
Например, вы написали CRM для сотрудников торгового зала в магазине.
Но даже в таком случае вместо пина можно, по таймауту неактивности (отсутвия запросов к серверу).
Через JS вывести заглушку. А при попытке F5 (рефреша страницы).
показывать кастомизированную форму логина (Типа Вы такой-то такойтович) введите свой пароль. или войдите под другим логином.

Пин доступ все же для устройств, которые всегда с тобой. И только на короткое время выпускаются из вида.
Если же все таки хочется его прикрутить, то свяжи с сессионной кукой.

Кука ставится например на несколько дней. Каждый запрос к бакенду обновляет поле lastAccessTime в таблице сессий. Тогда если прошло больше (условно 15 минут), то бакенд вместо запрошенной страницы отдает форму ввода пин кода. Совпал - обновляем поле. Нет - считаем попытки. Исчерпал удаляем эту сессию - редириктим на обычный логин.

разные css стили, но в медиа селекторах нет возможности разделить по типу (десктоп/смарт/планшет)
Можно по ширине экрана.
В общем получиться при ширине 600(или любое другое число на ваш выбор) и больше по старому, уже новые стили

Сделать просто.
Поиск по сайту переделывается с POST на GET, а точнее на ЧПУ.
НО ВАШ сайт после такого попадет в поисковиках под пессимизацию.
Результат будет ОБРАТНЫМ вашему желанию.

не удачный пример с платежными системами.
Данные об оплате поступают от мерчанта.
В 99% процентов случаев Ваш сайт просто отправляет посетителя на сайт платежной системы так как пройти сертификацию для работы с данными карт (Payment Card Industry Data Security Standard (PCI DSS) ) большой гиморой.
Для переадресации требуется сумма платежа, идентификатор участника платежной системы в чью пользу оплата, обычно к обязательным полям добавляют возможность добавить идентификатор оплаты со стороны продавца.
Названия полей и их количество немного отличаются от платежной системе к системе.

Есть вторая схема. Предварительная регистрация платежа (бакенд дергает апи и получает ид оплаты). Редиректит пользователя на оплату конкретного счета.

Факт успешной оплаты может проверяться по инициативе со стороны бека, так и через механизм обратных вызовов (хуков)

От пользователя сайт не берет информацию. Возврат по урлу успеха на сайт максимум можно использовать только для перепроверки, что поступлении денег было.

Даже в этом случае (пользователь ничего не передает) верить не желательно.
Стоит перепроверить контрольную сумму. Ограничить доступ к хукам по ip.

Типовой способ защиты: расчет контрольной суммы от
секретнаястрока+поле_данных1+поледанных2+....+полеN

Но способ не подходит для JS так как строка будет видна :(

Человек продает полностью готовый сайт, наполненный своим контентом.

Такое продают / покупают по формуле доход за N месяцев от сайта. То есть покупателю нужно только поменять привязку к рекламным площадкам на себя.
Купить интернет магазин по такой формуле сложнее. Больше гимороя с переводом на свое юрлицо.

То есть тут ценность в том, что у сайта есть органический трафик. Но опять, могут перед продажой и накрутить.

без контента, добавить свой контент и подключить к своему домену

И пропадает весь смысл покупки готового сайта.

Движок Вы пишите openCart бесплатный с купленными модулями. Угу вот только купленные модули, думаю с привязкой к домену( а вы его меняете) и модули уже становятся не купленными.

таплинк ? погуглил. Очередной конструктор сайтов.
думаю Вам придется перейти на платный тариф.
прошку. А возможности прикручивания произвольного html/js не вижу в самом навороченном тарифе

Нейронку что-ли хотите развернуть?
На хостинге собираются задачи. Домашний сервак через АПИ их забирает и по мере готовности публикует

Что вы поразумеваете под 10 портами ?
https://en.wikipedia.org/wiki/List_of_TCP_and_UDP_...
http,https,ftp,sftp,telnet,dns,smtp,pop3,imap,mysql ?
Так это любой хостинг. Будете основные сетевые службы пентестит ?

Сайты визитки.
Целевое действие, которых отправить пользователя на другой сайт или заставить совершить
звонок, посетить определенное место/мероприятие.
И владельцу такого сайта пофиг на статистику.
В принципе это может быть даже почти интернет магазин (хотя правильнее назвать это интернет витриной)

Задача, которую Вы хотите решить (периодический опрос сервера из фона) не совпадает с тем, как гугл видит
свою операционную систему. Во первых, противоречит их установке "Батарея должна жить долго". Во вторых, не раздражайте пользователей лишними напоминаниями. А главное они считают, что для этой задачи нужно использовать GCM(FCM) - Google/Firebase Cloud Messages (платный при превышении лимитов).

Просто вписан css в само тело страницы. Между этими тегами.

Ничего не понял из того на чем вы это делаете, но
qr('{$product.name')}
скобка - апостроф - фигурная
а справа идут не в обратном порядке

на готовой CMS у вас максимум получиться варезник, а не маркет плейс. Из готовых движков думаю лучше смотреть на форумные.
А маркет плейс это финансовый инструмент. И если прием оплат и возможно механизмы автоматизации выплат вы еще найдете для движков интернет магазинов, то SDK для разработчиков готового нет. (точнее его серверной части)

В вопросе три проблемы, которые нужно решить.
1) xyz - расскрыть в полную ссылку и сделать перенаправление.
муська тут избыточна (всетаки от нее нужно только роль кей-валуе хранилища)
2) настроить сервер так, чтобы все запросы на субдомены шли на скрипт.
А это DNS и какая-то серверная часть (хоть апач+пых, хоть что другое)
3) httpS - сертификат на основной хост и все его субдомены (wildcard).

из 2 и 3 следует учесть _acme-challenge. Похорошему нужно еще некоторые слова запретить использовать в качестве возможного ключа.

В общем тут задача на 80 процентов для сис админа, а от програмиста нужно только 5 строк кода

Под виндой пользовался Wamp + PhpShtorm+Git+Far(Ctrl+0 - погасить панели)
Была папка для проектов.
1. извлекал туда проект
2. отрывал локалхост и на стартовой от вампа говорил новый хост - лежит в папке там то
3 иконка у часиков - перезапустить все
4. запускал шторм
5. во строенном терминале выполнял компосер. / а можно в том же фаре между 1-2
ну и терминал почти больше не требовался. Если там только зависимости добавить
Закомитить так это просто клавиатурным аккордом можно или несколько тыков мышкой в иде

Для некоторых проектов и без локального апача можно обойтись - шторм и так запустить
что PHP, что Node