Автоматические сканеры часто шумят, так что согласен — локальный аудит проще и быстрее. Про htaccess и SSL тоже только плюс, но не забывай проверять логи на странные запросы, это часто выручает до проблем. Аудит на сервере лучше делать минимальный, чтоб не убить производительность.