Ну, тестовый стенд — это конечно база, но не всегда реально поднять точную копию сайта, да и CMS бывает слишком заморочена. Автоматические сканеры — штука полезная, но за ними не стоит слепо гнаться, главное — не превращать это в просто галочку. Лучше ещё подглядеть в логи и руками пробежаться по очевидным дыркам. Иначе рискуешь потеряться в куче алертов без толку.