Ну, с одной стороны ты прав, но часто всё гораздо сложнее — какие-то базовые меры дают, но многих мелких багов и нюансов полно, особенно когда CMS или фреймворки ещё свои заморочки добавляют. Важно понимать, что просто фильтрация и заголовки — это только начало, а в реальности у каждого сайта свои скелеты в шкафу.