Для меня главное — обновлять всё, не давать лишних прав и постоянно смотреть, что формы не пускают всякий код. HTTPS давно обязателен, а бэкапы всегда должны быть под рукой. Вроде просто, но без этого быстро может прилететь.