Клиент хочет создать портал именно на bitrix. Очень большая вероятность, что его захотят ломануть. Хотел бы услышать совет на что в первую очередь обратить внимание в плане безопасности.

P.s. раньше на bitrix ничего не создавали : (

Если прокатит, то что ему можно грамотно "впарить" про битрикс, чтобы он от него отказался ....

В паблике вроде нет актуальных эксплойтов под битрикс, но возможно у кого-то и есть приватные сплойты...

Обычно же дырки не в самом битриксе, а в дописаных скриптах.

Его минус в плане безопасности - пхп ланчер прямо в админке

Дырки в своих скриптах можно и на сайте без движка наделать - это мы умеем

В админку сначала нужно попасть.