Раньше проверял в основном классические инъекции и базовые настройки HTTPS, а теперь эта вся история с CSP, HSTS и 2FA стала обязательным минимумом. В общем, список вырос и усложнился, но без этого никак — времена меняются, и сайты теперь так просто не пробьёшь.