Согласен, обновления и права – фундамент, без них никуда. Ещё стоит проверить настройки CORS, часто про это забывают, а из-за кривой политики могут легко залезть с других доменов. И да, SSL с хорошим шифрованием – обязательный минимум, иначе весь трафик как на блюдце. Без этих базовых вещей дальше копаться смысла мало.