Кто тоже руками настраивает сайты, знает, что поверхностных скриптов для проверки уязвимостей не хватает. По опыту, чтобы быстро понять, на чём возможны проблемы, я делаю такой минимум: проверяю настройки CORS, смотрю, не торчат ли лишние заголовки вроде X-Powered-By, убеждаюсь, что SSL настроен без халтуры (тут easy tool типа Qualys помогает), и запускаю пару популярных сканеров, чтобы убедиться, что нет банальных XSS или SQLi. Очень важно поддерживать актуальность CMS и плагинов — это чаще всего дырке просто дублируется её номер.

Проблема — многие начинают гоняться за глубоким анализом, забывая исправить базовые вещи. Если у вас общедоступный сайт, обязательно поднимите минимум безопасности на уровне HTTP и HTTPS, чтобы снижать риск. Кастомные веб-приложения сразу гоняю на проверку логики, стараясь найти простые ошибки: неправильная валидация форм или отсутствие ограничений на запросы.

Кто что обычно первым делом проверяет на сайтах и порталах? Есть ли какие-нибудь лайфхаки или инсайты для базовой защиты, которые могли бы сэкономить время?