Пробовал недавно пройтись по старым проверкам безопасности на паре своих сайтов — многое из того, что раньше считалось критичным, сейчас либо не работает, либо уже встроено в фреймворки по умолчанию. Например, классические SQL-инъекции и XSS всё так же важны, но современные движки и CMS уже меряют эти запросы на уровень куда строже, чем раньше. Проще говоря, старые методы "лёгкого" нахождения дыр всё меньше отрабатывают.

Интересно перепроверить, что осталось актуальным: цеплять стоит на неправильную настройку прав доступа, нестандартные HTTP-заголовки (CSP, HSTS), ошибки в настройках CORS и API, а также вовремя проверять зависимости в пакетах — тут реально много дырок может висеть. Ещё советую прям руками пролезть в логи и посмотреть, нет ли там подозрительных запросов — это полезно и для защиты, и для понимания, какие места плохо прикрыты.