АртемЪ

Перед релизом хочется быть полностью готовым ко всему

Быть готовым ко всему невозможно даже теоретически!
Вы поставили заведомо невыполнимую цель

Стандартный чеклист по проверке основных типов угроз.
Если есть какие-то очень критичные места именно в вашем проекте - дополнительно их проверьте.
А что касается остального -
Безопасность это процесс!
Невозможно взять и сделать сайт безопасным.
Можно следить за безопасностью сайта и своевременно устранять наиболее критичные угрозы.

Но как они их находят? Везение? Опыт (а если его нет)?

Скорее куча факторов.
Один из основных - мышление. Люди думают по разному смотрят на ситуацию с разных углов.
В общем нужно иметь практические и теоретические знания и думать как их применить для взлома.

Обычный человек поставил на дверь хороший замок и думает что он в безопасности.
А человек умеющий находить уязвимости сразу видит что стены дома из газобетона и их проковырять легче чем замок ломать, потолок не слишком прочный можно проломить без особого шума, и.т.д.
Т.е это образ мышления взломщика. И это не относится именно к сайтам, это именно отношение ко всему что нас окружает.

Это очень гениальные люди.

Именно так. Гениальность это такой выверт сознания, который концентрирует человека на определенной проблематике в ущерб другим темам.

Может ли быть такого, чтоб не было ни единого бага, уязвимости, логической ошибки на сайте?

Нет.
Во первых в любых системах присутствуют ошибки, и чем сложнее система, тем ошибок больше.
Во вторых даже если ошибок нет - все равно можно найти слабые места.

А даже если и представить абсолютно безопасную систему - ей просто невозможно будет пользоваться.
Чем больше мы увеличиваем безопасность, тем сложнее и неудобнее пользоваться такой системой. Поэтому всегда приходится идти на компромисс.

Ну и не стоит забывать что исправления багов и уязвимостей в большинстве своем усложняют систему - тем самым повышая в ней количество багов и уязвимостей.
Поставили обновление безопасности - закрыли одну известную дыру, и как бонус получили десяток неизвестных.

Что такое «фишинговая ссылка»

Берется любой сайт где есть авторизация - например вконтакте, делается копия главной страницы, чтобы выглядела точно также и размещается на другом домене, зачастую похожем по написанию.
Человек открывает ссылку видит главную страницу известного ему сайта и вводит в форму логин и пароль - в результате злоумылшенники получают логин и пароль.
Только и всего.

и как от нее защититься?

Внимательно смотреть адрес страницы куда вы зашли, и сертификат.

Сайт видит лишь то, что вы ему отправляете. Не больше и не меньше.
Если вы сообщаете ему свое имя, или имя вашего компьютера - значит видит.

Как сделать Windows 10 безопаснее без антивируса?

Ну во первых там есть встроенный антивирус от майкрософта, который существует еще со времен Windows 7, и прекрасно работает, практически не влияя на быстродействие.

Во вторых - любой даже самый лучший антивирус не обеспечивает полной и гарантированной защиты. Например те же шифровальщики эпидемия которых была года три назад по большей части не содержали вирусного кода, и не определялись антивирусом.

Отличная система защиты это UAC - работает по принципу sudo в Linux. Он отсекает кучу проблем защищая любителей работать с правами администратора.

На данный момент наилучшей защитой является грамотная работа с правами.
Не работайте под админом - вы же не каждый день ставите софт, если надо поставить не трудно набрать пароль от админской учетки.
Ограничивайте права на запуск программ откуда попало с помощью политик - в идеале запуск разрешен только из специальных папок - Windows и ProgrammFiles, а с других мест запрещен. В итоге даже если зловред попадет на компьютер - в системную папку он не попадет, ибо прав нет, а из другой просто не запустится ибо запрет.
Для офисных компьютеров идеальная вещь. И не надо думать что это только в домене - все работает и без домена прекрасно.

Ну и одна из самых эффективных, простых и доступных защит - банальный бэкап системы.
Тут следует оговорится - он защищает от утраты, и повреждения данных, но не защищает от утечки.
Если вы не храните на ПК сверхсекретной информации, утечка которой способна нанести миллионый ущерб, то можно этой защитой и ограничится.
Настраиваете бэкап и спокойно работаете - если вдруг словите что-то нехорошее, просто откатываетесь назад.
Нажатие одной кнопки и за 5-10минут система откатится к точке бэкапа и вы получите работающую систему со всеми файлами.
Причем встроенная система бэкапа идущая "из коробки" вполне конкурентоспособна и неплохо работает, поэтому можно использовать ее.

Множество неприятностей идет из браузера и тут неплохо справляются альтернативные DNS например от Яндекса, которые просто не резольвят вредоносные сайты.
Так же эффективен ADblock хоть он и создан немного для другого.

Плюс немного осмотрительности - внимательно следите откуда качаете софт, следите за расширениями файлов.
Не запускайте разнообразные файлы типа хороший_фильм.torrent.exe или скан_накладной.exe
Если вы невнимательны - смотрите выше про UAC и политики ограниченного использования программ.