Тема, наверное, избитая, но многие продолжают халтурить с основами — и потом сидят с дырявыми сайтами. Кто что проверяет в первую очередь? Я обычно смотрю на: обновления CMS и плагинов, права на файлы (не должно быть 777 нигде), настроенный HTTPS и Content Security Policy, ограничение доступа к важным файлам, например .env, и все ли корректно обрабатываются пользовательские данные, чтоб не дать инъекций.

Никогда не пропускаю проверку серверных заголовков безопасности и автозапуск нежелательных скриптов, плюс базовые сканы через Nmap или Nikto для выявления "простой" фигни. Кто еще что добавляет в свой чек-лист? Есть ли нормальные практики, которые редко видите в чужих усилиях по защите?

В целом, непонятно, насколько глубоко можно заходить в базовую настройку на небольшом проекте без большущего бюджета и настолько ли это реально способен сделать разработчик без постоянной помощи спецов по безопасности. Кто с этим сталкивался?