.git-репозиторийОткрытые .git/HEAD и .git/config — исходники наружу
Файлы .env/.env, /.env.local, /.env.production — ключи и пароли
Резервные копииДампы БД, архивы, .bak-файлы по типовым путям
Листинг директорий/uploads/, /assets/ — видны ли файлы снаружи
Утечка API-ключейGoogle, OpenAI, AWS, GitHub в HTML и JS-файлах
Source MapsДоступны ли .map-файлы — читаемый исходный код
Заголовки безопасностиCSP, X-Frame-Options, HSTS, X-Content-Type-Options
CORS-политикаОпасный wildcard + credentials — открытый API
SSL/TLSСрок сертификата, версия протокола, цепочка доверия
Флаги CookieSecure, HttpOnly, SameSite для каждой куки
Mixed contentHTTP-ресурсы на HTTPS-странице (img, script, link)
Устаревшие библиотекиWordPress, jQuery, Bootstrap — версии и известные CVE
