В общем, идея с поэтапной проверкой крутая — сначала базовые ошибки, потом заголовки, и только после — сканеры, чтобы не пугаться ложных срабатываний. Сам тоже так делаю, особенно важно не менять настройки в проде без тестов, а то можно и хуже сделать. И плюс согласен, лишние плагины нередко самые дырявые.