CMS immobiliare — specifiche tecniche

1 Architettura

Stack: PHP 7.4+/8 lato server, JavaScript vanilla ES modules lato client, MySQL/MariaDB.
Sito pubblico: front controller PHP + SPA, pannello admin (SPA) e API REST che le serve entrambe.
Configurazione unica (config.php): percorso, dominio, database, mail e limiti di upload.

PHPPDOVanilla JSES modulesApache/.htaccess

PDO con prepared statement ovunque (anti SQL-injection), connessione centralizzata.
Router custom con parametri dinamici (/annunci/:id, /annunci/slug/:slug) e rotte marcabili come protette.
Classi core: Request, Response (JSON), Router, Database, middleware Auth e Cors.
Pattern Model → Controller → Route con whitelist dei campi scrivibili (anti mass-assignment).
Entità: annunci (+ foto), slide hero, pagine statiche, contatti, utenti, impostazioni agenzia, traduzioni.

Autenticazione JWT (HS256) con token in cookie HttpOnly (SameSite=Strict, Secure in HTTPS): il JS non vede mai il token → resistente all'XSS.
Secret JWT auto-generato e unico per installazione, salvato fuori dal web e rotabile.
Password con bcrypt + password policy (min 8, lettere+numeri, blocklist, no email).
Ruoli admin/editor applicati lato server (403 sugli endpoint riservati).
Rate limiting anti brute-force (login) e anti-spam (contatti) + honeypot.
Validazioni centralizzate su tutti gli endpoint di scrittura, coerenti coi limiti del DB.
CSP con nonce, hardening .htaccess (blocco cartelle interne e file sensibili, no directory listing), protezione anti header-injection nelle email.

Front controller PHP che compila il <head> per pagina, poi SPA con History API e URL parlanti (/slug).
Home con hero slider (immagini/video, testi per slide), ricerca, pillole tipologie, ultimi annunci.
Catalogo con filtri, schede con gallery, mappa e prezzo; pagine statiche; contatti con privacy e mappa "Dove siamo".
Flusso contatto → annuncio: la richiesta viene precompilata e collegata all'immobile (visibile in admin, citato in email).

SPA a moduli (router hash, layout condiviso, una vista per file).
CRUD completo: annunci + foto (upload/riordino), hero slider (upload singolo e multiplo), pagine, contatti, dati agenzia, utenti.
Tema chiaro/scuro, sidebar comprimibile, ricerca con ⌘K, toast e conferme non bloccanti, skeleton, upload logo.

Meta server-side per pagina (title, description, canonical, noindex), URL parlanti, robots.txt, sitemap.xml dinamica.
SEO sociale: Open Graph completo (site_name, locale + alternate, image), Twitter Card, immagine di ripiego.
Dati strutturati JSON-LD: RealEstateAgent su ogni pagina + Residence sulle schede.

Interfaccia IT/EN con switch immediato (dizionario, cookieless).
Contenuti traducibili (annunci e pagine) dall'admin con linguette IT/EN e fallback automatico all'italiano; API con parametro lang.

Font self-hosted (DM Sans, Playfair, IBM Plex Sans/Mono) in woff2 con preload → niente Google Fonts (privacy + velocità).
Nessun bundle, poche richieste, immagini ridimensionate all'upload.
PWA installabile: manifest, set completo di favicon + icone 192/512, theme-color.
Analytics privacy-friendly (Umami, cookieless).

Skip-link, <main> focusabile, landmark semantici, role="search", aria-live sugli esiti, menu mobile con aria-expanded.
Focus-visible, contrasti curati, prefers-reduced-motion rispettato, label sempre presenti.

Test senza dipendenze: runner PHP con unit test (JWT, validazioni, password policy, slug) + smoke test HTTP degli endpoint (login, CRUD, 401/403/422, permessi).
Installazione con un file + import di 3 migration e seed; secret e favicon già pronti.
Funziona in sottocartella o nella root del dominio; repository Git con esclusioni di upload, chiavi e dati volatili.