Yo creo q ese sistema es tb inseguro...
Deberías numerar los sitios que permites incluir...
Código PHP:
switch ($id) {
case "opcion1":
include("incluir1.php");
break;
case "opcion2":
include("incluir2.php");
break;
default:
include("inicio.php");
break;
además de la forma q pusiste pasas por GET la ruta del archivo a incluir... lo cual se ve "feo", con el switch q propuse podés pasar "opcion1" y que el código lo traduzca a la página