klar json können wir auch nehmen ich bin in der hinsicht noch relativ offen

und ich denke mal wegen der sicherheit wär es am besten wenn es einen extra "remote user" geben würde über den man sich halt einloggen müsste für jede aktion die ausgeführt wird den ob ich jetzt noch einen usernamen und passwort zusätzlich mitschicke oder nicht ist ja wurscht.
das pwd natürlich direkt verschlüsselt, nicht plain is ja klar.
und den filter für die daten könnte man ja so relasieren das die einfach an die normale verarbeitung "weiter geschickt" werden.
so das die daten halt durch den filter gejagt werden den es standard mäßig schon im adminmenü gibt
evtl. könnte man zusätzlich einen hash im admin menü erstellen den man halt vor der regestierung eines neuen kontos im cms manager angeben muss.
der wird dann mit dem hash auf dem server abgeglichen und dann wird erst der zugriff auf das eigentliche backend erlaubt