Точно подмечено про права и токены — часто забывают про такой базовый минимум, а это дыра на входе. Ещё неплохо проверить, что не осталось в проекте каких-то старых тестовых страниц или данных, которые могут случайно открыть доступ к админке или базе. Логи тоже важны — без них быстро потерять след, если что пойдет не так, но и не стоит перегружать их лишней инфой.