.git-репозиторийОткрытые .git/HEAD и .git/config — исходники наружу
Файлы .env/.env, /.env.local, /.env.production — ключи и пароли
Резервные копииДампы БД, архивы, .bak-файлы по типовым путям
Листинг директорий/uploads/, /assets/ — видны ли файлы снаружи
Утечка API-ключейGoogle, OpenAI, AWS, GitHub в HTML и JS-файлах
Source MapsДоступны ли .map-файлы — читаемый исходный код
Заголовки безопасностиCSP, X-Frame-Options, HSTS, X-Content-Type-Options
CORS-политикаОпасный wildcard + credentials — открытый API
SSL/TLSСрок сертификата, версия протокола, цепочка доверия
Флаги CookieSecure, HttpOnly, SameSite для каждой куки
Mixed contentHTTP-ресурсы на HTTPS-странице (img, script, link)
Устаревшие библиотекиWordPress, jQuery, Bootstrap — версии и известные CVE
Защита email (SPF/DMARC)Могут ли мошенники рассылать письма от имени домена
Версия сервераServer: и X-Powered-By с версиями — подсказка для атак
robots.txtНет ли в запретах путей к админке, бэкапам, конфигам
Целостность CDN (SRI)Внешние скрипты без integrity= — можно подменить код
Манифесты зависимостейpackage.json, composer.json, .htaccess — карта стека наружу
Отладочные страницыphpinfo, server-status, открытый phpMyAdmin
Логины WordPressМожно ли узнать логины авторов через REST API и ?author=
