Собрался выложить новый проект онлайн и задумался, как вообще правильно пройтись по безопасности перед публикацией. Сам пока ограничиваюсь парой базовых штук: смотрю логи на ошибки, прогоняю через онлайн-сканеры типа Sucuri или Detectify (у бесплатных версий, конечно, ограничения), проверяю CSRF-токены и минимальные SQL-инъекции.

Но есть ощущение, что этого мало — то, что ловится быстро, не всегда главный геморрой. Вот думаю, кто чем реально пользуется? Может, для фронта какие простые хуки проверять есть нормальные или для бэка более глубоко смотреть? Есть идеи как на живых проектах без страшных впаек в конфиги и сотни скриптов проверить основные баги?

Интересуют чисто «перед выходом» штуки, которые можно быстро сделать самостоятельно перед тем, как залить на рабочий сервер. Чтобы не просто «потом посмотрим» или «потом запилю», а именно контрольный обход по потенциальным уязвимостям. Кто как с этим борется?