Вася Петров

Из принципа хочу доказать свою непричастность.

Бесполезно. Не докажешь, только потеряешь время/деньги и нервы.

Что делать?

Понять и простить. (С)
Забить и больше НИКОГДА не делать на хостингах клиентов ДО полной оплаты.
Считай что купил ума.

АПД. А вообще, если есть договор, то нужно его читать. Если там есть обязанность клиента заплатить за работу и нет ничего про и вирусы и тп - можно и побадаться.
А нет договора - увы.

Может ли это сделать программист или нужен какой-то сис.админ?
Раскройте эту тему, пожалуйста. Можно ссылками.

Легко! программист . сис.админ

Для администрирования ВЕБсервера (поскольку речь про сайт), как ни странно нужен администратор ВЕБсервера.
А безопасность - это не разовая работа. а постоянный процесс. Как и поддержка нормальной работоспособности сервера.

Как безопасно загружать данные от ckeditor?

Всегда фильтровать любую запись в БД, не разрешать никакой код.

Возможно ли как-то запретить исходящий трафик с моего сайта

Запрещение исходящего трафика означает, что с сайта не будет ничего никому доставляться. Проще говоря - никто сайт не увидит.
Запрещением исходящего на определенные ресурсы занимается серверный файевол/роутер, а не апач с пхп.

Нашел решение на .htaccess:

Это "решение" запрещает доступ С указанных сайтов К твоему. Это совсем не то же, что "запретить скриптам обращаться к домену xxx.com". Но это да, не даст возможности: "что-то с него подгружать". (Хотя это обходится за 1 минуту прописыванием алиасов домена и редиректов на доноре. Так что может и не помочь. Вот запрещение IP - уже чуть сложнее обойти. Но не намного).

Пытаешься таким образом бороться с вирусами на сайте вместо того, чтобы от них избавиться? Ну-ну :

Гугл обеспечил безопасность или все еще возможно их украсть каким-нибудь стилером?

Гугл и безопасность.. Смешно. да :)

https://geektimes.ru/post/284418/

Браузер с легкостью отдает любому желающему сохраненную информацию для заполнения в форм, даже если этих форм не видно. А среди сохраненной информации в профиле автозаполнения могут быть и конфиденциальные данные. Например, домашний адрес пользователя или даже данные банковской карточки.