А где гарантия, что сисадмин там вообще был? Очень часто бывают варианты вроде: проект перерос уже шаред, давай на мощный VPS его. Перетащил разраб сайта с его владельцем сай, читают советы по оптимизации, видят что можно на VPS заюзать кэш и сессии в redis. Быстро ставят по кривым манам, особо не разбираясь, указывают 0.0.0.0 или внешний IP сервера в качестве интерфейса, запускают проект с кэшем и сессиями в redis и радуются.

Осваивать нормальную настройку redis, правила файрвола и т.п. разрабу нафиг не нужно. Он не админ, ему то что... Что заказчик попросил, то он и сделал.

А заказчик тупо сэкономил. Заплатить разрабу за перенос сайта на VPS и немного за дополнительные движения проще, чем разрабу за перенос платить, а затем пришлому админу за нормальную настройку сервисов на сервере. Так люди годами и живут, пока им письмо счасться не прилетит от саппортов хостинга, или IP адрес сервера не загремит в DNSBL какой-то, а то и в Google Safe browsing, потому что на серваке всё завирусовано будет по самое никуда и на него начнут прилетать жалобы.