Как сейчас проверять и защищать веб-приложения?
 

Поднимаю тему, потому что столкнулся с парадоксом: вроде хромают старые уязвимости из OWASP, но и новые появляются регулярно, и не всегда достаточно просто обновить CMS или плагин. Недавно тестил пару сайтов — на одном помогла стандартная актуализация и настройка заголовков безопасности, на другом — пришлось ковырять код, потому что внедрили кастомную логику, где стандартные инструменты не срабатывали.

Да, с кастомным кодом всегда сложнее — стандартные патчи и настройки не всегда цепляют. Иногда приходится именно копаться в логике приложения, чтобы понять, где дыра, а где просто ложное срабатывание. Обновлять CMS важно, но без анализа своего кода и логики безопасности толку мало.

Я бы не стал слишком полагаться на обновления и стандартные настройки, особенно с кастомным кодом. Вроде бы патчи есть, а проблемы всё равно всплывают. Иногда кажется, что проще полностью переписать критичные места, чем пытаться впихнуть патч в чужой код. Без понимания своей логики и структуры безопасности всё равно толку будет мало.