По коду можно найти конкретный дефект, признак того, что программу сложно сопровождать, или потенциальное узкое место. Эксперт укажет участок, условие проявления и техническое последствие. Число предупреждений анализатора не равно числу реальных уязвимостей, а высокая сложность функции не доказывает её неправильность. Каждое срабатывание проверяют вручную и сопоставляют с критерием.
Полностью оценить масштабируемость по одному коду нельзя: нужны данные, конфигурация, инфраструктура и профиль нагрузки. Общая защищённость включает также управление доступом, ключами, обновлениями и инцидентами; её исследуют в рамках экспертизы и аудита информационной безопасности. Вывод о том, что проблем не найдено, ограничивают исследованной версией, правилами, входными данными и охваченными путями.