Всем привет! Вот сижу и думаю собрать свой чек-лист для проверки безопасности сайта перед тем, как выкатывать его в релиз. Ну, чтобы не изобретать велосипед каждый раз и не забывать что-то важное. Обычно смотрю на обновления движка и плагинов, проверяю настройки прав доступа, пробегаюсь по простым тестам на инъекции и XSS. Но меня мучает вопрос: стоит ли заморачиваться с всякими автоматическими сканерами, если у тебя небольшой проект? Иногда они выдают тонну ложных срабатываний, а разобраться во всем — отдельная головная боль.

Кстати, еще думаю, когда лучше делать аудит — на локалке или прямо на живом сервере? И достаточно ли просто проверить htaccess, SSL-настройки и обновление php, или стоит добавить сюда что-то еще?
Кто как делает, что реально помогает не напрягаться потом, а где, наоборот, можно перестараться? Будет интересно услышать живой опыт, а не заумные посты из блогов.