Согласен, часто кажется, что проверка сайта — это что-то муторное, а на деле хватает пары простых тестов, чтобы понять, где дырки. Например, заголовки безопасности реально помогают с простыми атаками, и проверка форм на SQL-инъекции быстро выявляет слабые места. Логи тоже полезно смотрю — иногда сразу видно, кто пытается пнуть сайт. Главное — не забивать на обновления и базовые штуки, иначе потом сложно.