Честно пишут: что не успели, какие среды недоступны, rate limits, отсутствие исходников в black box, блоки WAF, короткие окна. Это защищает от ложного чувства «всё проверено» и помогает планировать следующий engagement.
Разбор
- Читает executive — пишите ясно.
- Не прячьте limitations в appendix только.
- Связка с residual risk.
- Рекомендации follow-up тестов.
Итог
Limitations — обязательная честность отчёта о покрытии.