Bisher werden in Contenido für das Frontend eine Datei und für das Backend mindestens folgende Dateien angesprochen:

/contenido/index.php
/contenido/main.php
/contenido/external/backendedit/front_content.php

Es ist wahrscheinlich, dass je nachdem noch weitere Dateien direkt angesprochen werden.

Hier sollte nur noch eine Datei ansprechbar sein. Alle übrigen werden ggf. includiert und sollten sich oberhalb des Webroots finden oder in einem Verzeichnis, dass gegen den direkten Zugriff geschützt ist.