Revisa qué deja ver tu sitio en público. Solo lee lo que el navegador ya recibe; no prueba nada contra tus servidores.
El chequeo ligero lee solo la página y su JS de mismo origen. El profundo exige probar que controlas el dominio.