a parte de comprobar que las credenciales al entrar en la aplicación, después debes comprobar en todas y cada una de las paginas que la sesion se inicio para poder navegar, como por ejemplo
Este archivo se llama comprobariniciosesion.php
if($_SESSION["Usuario"]=="valido"){<?php
//Arrancamos la headersesión
session_start("Location: puedespasar.php");
//Comprobamos existencia de }sesión
if (!isset($_SESSION['Usuario']) else&& if!isset($_SESSION['Usuario']=="novalido"$_SESSION['Contrasena'])) {
header("Location'location: no puedespasarlogin.php"php');
}
en cada uno de los archivos hago
require('comprobariniciosesion.php');