Пару раз ловил себя на мысли, что начинаю сканить сайты с тонны автоматических тулз, а потом понимаю — без базовых шагов толку мало. Сейчас обычно сначала смотрю на конфиги серверов, правильность заголовков безопасности (Content-Security-Policy, X-Frame-Options), потом простой ручной тест на инъекции и обходы аутентификации.

Дальше смотрю настройки прав доступа — часто там косяки легче всего найти. Неплохо сразу проверить, что старые бэкапы и dev-версии сайтов не висят в открытом доступе. Потом уже запускаю более сложные сканеры, чтобы не гнать их на голое поле.