Я обычно ставлю акцент на обновления и правильные права, потому что без этого даже крутые настройки не спасут. Ещё проверяю, чтобы SSL был не просто включён, а настроен по уму – с нормальным шифрованием, а не каким-то лёгким вариантом. И на уровне кода всегда слежу за обработкой данных, чтобы не было никакой халтуры с инъекциями. Если эти базовые моменты не сделать, дальше смысла особо искать уязвимости нет.