Если собрались проверить настройки безопасности сайта или портала, то первым делом нужно понять, зачем именно это делать и какие инструменты помогут без лишней мути. Лично я пробовал два основных варианта: автоматические сканеры и ручной аудит.

Автоматические сканеры — удобно, быстро, но часто бывает, что они либо не находят ничего, либо вбрасывают кучу ложных срабатываний. Вдобавок часть бесплатных похожа на игрушки и не покажет серьёзные проблемы. Зато с их помощью легко получить общее представление и понять, куда копать дальше.

Ручной аудит — занимает больше времени и требует понимания, что искать и как. Тут важна внимательность к деталям: проверка заголовков безопасности, настройка CORS, анализ форм на инъекции, тесты на аутентификацию и сессии и прочее. Этот подход даст более точные результаты, но он не для каждого.