Stavba webové aplikace a nutnost API

Dřív jsme encryptovali PHP zdrojáky (aby nešly přes FTP přečíst) pomocí Zend Guard a IonCube, ale pak se zjevil ve firmě nadanej "kutil" a měl heslo do DB za 2 hoďky po krátké hádce a sázce, takže nic moc... nezbývalo než nemít oprávnění pro FTP usera na klíčové soubory, ale to má samozřejmě i nevýhody.Dobře vytvořené API je dobré v tom, že umožňuje jen definované operace a omezuje tak možnost zneužití, ale že by to bylo nějak spásné řešení se říct nedá.