bearMinsk

Если это вопрос паранои, то никак: угнать можно всё.
Если вопрос кидалова со стороны заказчика, то предоплата (чтобы не получилось что начал пилить, а заказчик нашел дешевле у сына маминой подруги), демонстрация скринов, полная оплата, отдача верстки.

понятно что можно найти лом, однако усложнить

Понятно, что можно сделать так, что лом не найти)
VNC или RDP на свой серв/ПК (дома или в облаке) и пусть тестит.

Показывать только на своем сервере.
Например, сделать так, чтобы куски верстки подтягивались с сервера через ajax, а на сервере ограничить адреса, с которых могут идти запросы.
Весь css сливать в один файл, весь js - в другой, без разбивки на библиотеки.

А еще мне как-то попал в руки html, сверстанный автоматом какой-то прогой, все классы назывались в духе div_1, div_2 и т д. Сверстано наглядно, но абсолютно неподдерживаемо. Возможно, есть что-нибудь для замены имен классов на бессмысленные.

В общем, можно довести макет до состояния, чтобы было дешевле купить, чем поддерживать демку.