Security code review. Подходы и инструменты AppSec инженера

Никто и не отменяет сканера, это как доп механизм который необходим когда уже вся автоматика настроена.

Frontend Security: о чем вы хотели бы забыть, но не сможете

Для этого нужно задолго до имплементации мониторить трафик, вся суть HSTS в том чтоб браузер пользователя запомнил что на конкретную веб-страницу нужно ходить только по HTTPS.

Посоветуйте, что почитать. Часть 1

Могу посоветовать канал на ютубе — The Cyber Mentor, в целом неплохо рассказывает если вы дружите с английским.