При самой дырявой защите "любой" уже не поставит (мой сын точно не поставит). Для того чтоб ломать CMS хотя-бы её "дезендить" или "декубить" она должна быть популярной, отлаженной, надежной и привлекательной (выгодной), в противном случае "самописную" систему будет просто "влом" ломать т.к. бесплатных аналогов куча, ну на крайний случай аналог можно взять с "варезных" сайтов "нуленную версию".

Те люди, которые StarCraft ломали (хотя я не вижу аналогии), взломают при желании и сервер и утащат необходимый ресурс.

Не отвлекаясь от темы - для реализации схемы защиты CMS ключом, достаточно в ядро заложить функцию проверки любого ключа (будь он внешний или зашитый хеш в это-же ядро) и данный файл ядра через какой-нибудь Roadsend PHP Compiler преобразовать в бинарник (elf) или если позволяют средства "зазендить" (можно также использовать ionCube вопрос только цены). Однако при таком подходе следует побеспокоиться чтоб и на хостах потенциальных клиентов что-то из вышеперечисленного поддерживалось настройкой web-сервера. На крайний случай можно внести в документацию инструкцию по установке "читалок" "зашифрованных" скриптов.
Только не удивляйтесь (если система достаточно хорошая) появлению вашей CMS на "варезниках" через некоторый промежуток времени. В России воруют всё и вся и всегда : ) Лучший метод защиты - это патент на свой продукт и в случае обнаружения развернутого сайта на вашей CMS несанкционированно - можно попросить владельца оплатить ваш труд и в случае отказа подать в суд на владельца (это схема работы 1С Битрикс например).