Для небольшого проекта достаточно базовых проверок: обновления, настройки прав, простые тесты на инъекции и XSS. Автоматические сканеры часто залипают на ложняках, так что проще делать аудит на локалке и потом быстро прогонять финальные проверки уже на сервере перед релизом. Главное — не усложнять, а держать базу в порядке.