Kam umístit administrátorské rozhraní?

Na umístění zas tak moc nezáleží. Administrátorské rozhraní by mělo být chráněno lépe než jen tajnou URL. Ta se totiž ukládá do historie prohlížeče, případně se může pomocí refereru posílat na cizí webové stránky.

Souhlasím s jenikkozakem, doporučil bych aby jste si pořídil MySql databázi a udělal si tabulku uzivatele a po přihlášení do webu a splnění podmínky if($opravneni = 2) se zobrazí obsah administrace...

A jde vám o podobu URL, nebo o fysické umístění skriptů administrace?

Takže.
1) Subdoména přinese jistá specifika. Nepůjde normální AJAX mezi hlavní doménou a subdoménou, s cookies bude také větší legrace, ale nic neřešitelného. Jinak je to jen URL, takže celkem jedno.
2) Aplikaci je vhodné umístit mimo složku přístupnou z venčí. A potom už je to také jedno.

Ad 2) Tím myslím, že veřejná složka je /www a aplikace je v /aplikace, nikoliv v /www/aplikace. V souboru /www/index.php je potom něco, co vloží aplikaci z ../aplikace/*. Proč? Pokud se to tak neudělá a na serveru se něco porouchá, může se stát, že si návštěvník bude moci procházet skripty aplikace včetně třeba přístupu do databáse.

„to je pak asi lepší dávat taky mimo /www prakticky všechny includovaný soubory, ne?“
Ano, ideálně by tam mělo být jen to, co je stejně veřejně přístupné (obrázky, CSS, JavaScript). Samotné skripty a zejména citlivé soubory s hesly je třeba schovat.

„A to vkládání jde jen pomocí include? Není v tom nějakej další háček?“
Záleží, jak je aplikace napsaná.

Je samozřejmostí, že si tam budeš muset udělat výpisy a jestli budeš chtít stupňovat oprávnění, tak si budeš jednoduše hrát s čísly ve sloupečku a budeš přidělovat podmínky v závislosti na požadavcích :)

quatzael:
Ve složkách, které nejsou z venku přístupné (v tvém případě složky mimo www) jsou většinou zakázány prohlížet (přes protokol HTTP případně HTTPS) viz htaccess. Se soubory uvnitř "nepřístupných" složek však mohou pracovat PHP scripty na úrovni aplikace (include apod.).

„Bude fungovat běžný odkaz z index.php na includovaný script, který je mi to /www?“
V tomto případě by běžný odkaz určitě nefungoval. Includování však fungovat bude.
Zkus se mrknout na tuto strukturu Nette

1) Pokud je aplikace napsaná tak, že každá akce je samostatný skript, tedy např. přijde požadavek na upravitClanek.php, bude muset nějaký skript teprve vložit tento soubor.
2) Pokud bude aplikace napsaná tak, že požadavek má přijít na index.php?akce=upravitClanek, tak se nic moc složitého měnit nemusí.

Ono to na každém hostingu nebývá možné. Třeba je to i váš případ.

Problém je hlavně to čtení, protože se tak dají získat ty citlivé údaje jako přihlášení do DB atd.

quatzael:
Pravda už si to uvědomuji správně by to mělo být if($opravneni == 2)

možná by pomohla změna oprávnění v dokumentech

Z veřejného adresáře velmi jednoduše:

Počkejte, proč několikrát? Soubor, kde bude tohle include, je ten jediný PHP skript ve veřejné složce, který jen načte hlavní skript aplikace (startovaciSouborAplikace.php). Tam už pochopitelně můžete psát normálně include "config.php", pokud je config.php ve složce inc jako startovaciSouborAplikace.php.

„Myslel jsem několikrát zasebou psát to ../“

Ale vždyť to bude jen v tom veřejně přístupném souboru.

/nazev-domeny.cz/index.php

/nazev-domeny.cz/css/styl.css

/inc/startovaciSouborAplikace.php

/inc/funkce/ahoj.php

Kde vidíte „několikrát zasebou psát to ../“?

Proč 20 podsložek + Dalších 4 až 6? To máš kvůli hezké URL? na to je .htaccess...

quatzael:
„umí to udělat to co potřebuju nějakým lehčím způsobem??“
Jo.
Za větou se píše jen jedno interpunkční znaménko.

„.htaccess nepoužívám.. umí to udělat to co potřebuju nějakým lehčím způsobem??“

Aha, tak tady je pes zakopán. S použitím .htaccess je možné si ty adresáře jednoduše simulovat.

Jinak jak je tedy nyní aplikace řešena? Soubor moje-domena.cz/jedna-z-dvaceti-podslozek/jedna-z-sesti-podpodslozek/index.php načítá nějaké společné části z ../../neco.php atp.?