Часто замечал, что автоматические сканеры дают много шума, особенно на кастомных сайтах — много ложных тревог и нужно вручную всё проверять. Зато с ручным тестингом хоть и дольше, но точнее находишь реальные проблемы. И правда, держать под рукой актуальные чек-листы и знать, что именно ищешь, сильно помогает не потеряться во всём этом.