Аудит безопасности сайта

Positive technologies, не? www.ptsecurity.ru/

Можете обратиться к ним. Сами не так давно к ним обращались, остались очень довольны. Чек-лист у них даже пошире, пробовали даже социальную инженерию.

Можно тут www.antihacking.ru
По цене/качество идеальный вариант.

Зависит от того, сколько приносит ваш сайт. И того, сколько вы можете потерять при его взломе\простое.

Если вы готовы вложить в аудит 700.000 - 3.000.000 рублей, то можно обратиться к компаниям из "высшей лиги"
Positive Technologies, Group IB, Digital Security

Если 300.000 - 500.000 рублей, то можно посмотреть в сторону небольших компаний. Таких как
Deteact, ONsec, INCsecurity, Metascan

Если бюджет меньше 100.000 рублей, то можно обратиться к автоматизированным системам поиска уязвимостей
Qualys, опять же Metascan, Acunetix, Detectify и дать своему админу их отчет.

Для того, чтобы самому разобраться в том, какие уязвимости бывают и как их найти, стоит начать с руководства от OWASP: https://www.owasp.org/images/9/96/OWASP_Top_10-201...
Это главный в интернете сборник знаний по атакам\защите веб-приложений.