Я пока только пробую самому посмотреть, как сайт держится по безопасности. Накидываю простые проверки вроде запрета iframe, поисков config-файлов и смотрю, нет ли ошибок в формах при странных вводах. Вроде так можно быстро понять, что с сайтом не так, не залезая глубоко в код или сервер. Пока этого хватает, чтобы не допустить банальных дырок.