Часто сами авторы сайтов оставляют тонкие лазейки, типа default-паролей или debug-режима включенного на проде, и это проходится мимо из-за фокуса на сложных багов. Ну и правда — автоматами проверка базовых настроек почти всегда проскакивает, приходится руками цеплять, особенно если куча разных версий компонентов.