Часто замечаю, что многие новички в безопасности просто запускают пару сканеров и считают, что дело сделано. Но уязвимости — это не только баги в коде, а еще и конфигурации, и политика безопасности. Лично я сначала пытаюсь понять, какие уязвимости реально критичны для конкретного проекта, чтобы не гоняться за каждым предупреждением из отчёта сканера. Потом чаще всего беру простые инструменты — например, Burp Suite или OWASP ZAP — для более глубокого анализа, но без фанатизма.

После нахождения проблема — не просто патчу даю, а проверяю, не ломает ли исправление другие части сайта или бизнес-логику. Еще помогает парочка чеков по безопасности HTTP-заголовков и правильная настройка прав на сервере (это часто обходят). Если кто-то использует стандарты вроде OWASP Top 10, интересно услышать, насколько им реально хватает? Какие ваши минимальные шаги по фиксу — ограничиваетесь патчами или автоматизируете какие-то процессы?