Часто заморачиваюсь просто на базовых вещах: фильтрация ввода и проверка токенов — реально выручают. Потом уже стараюсь не ставить левые плагины, у которых нет отзывов. Иногда обновления движка спасают от дыр, но лучше не гоняться за всеми новинками подряд. CSP — штука полезная, стоит хотя бы попробовать включить, если CMS позволяет. Главное — не забивать на элементарные меры, с них и начинается нормальная защита.