Раньше чтобы защититься, хватало пары обновлений и базовой фильтрации, сейчас все усложнилось, да и запаришься с этими CORS-ами и CSP. Тот же old-school подход с тяжелыми паролями и двухфакторкой всё ещё рулит, но теперь без правильных заголовков и регулярных апдейтов – вообще никак.