Как защитить сайт от brute force attack

Возможно они долбятся в xmlrpc.php.

Сделайте так:

Сделала. Это помогло. Большое спасибо!!

Можно заморочиться и написать скрипт, который будет открывать/закрывть доступ любым из доступных способов (да хоть файл login сносить и восстанавливать).

Скриптом управлять обычным запросом с токенов-паролем и токеном-командой открыть/закрыть.

Теперь кладём URL скрипта с токеном в закладки, и одним нажатием открываем доступ.

Тут можно импровизировать и заставить скрипт вносить свой текущий IP во временный белый список.

Ещё один вариант: поставить в браузер расширение, меняющее UA на нестандартный, и разрешить доступ только ему.

Есть даже шанс найти расширение, меняющее UA в зависимости от URL, чтобы больше нигде не светить.

Ну и так далее, для творчества простор.

Ну и задали Вы задачу, это ж сколько теперь гуглить придется :)

Не надо гуглить, пойдите в рабочий раздел и найдите недорогого кодера. Задача элементарная.

Это если нет плагинов, это использующих (тот же жутьпак, напр.).

И, Oksenia, в таком случае лучше поставить какой-нить плагин, отключающий не только xml-rpc, но и json/rest-api.

Хотя и предложное закрытие доспупа к файлу не будет лишним - отрубит ещё до ВП. :)

Часть достаточно поставить (и настроить!) плаг для лимитов попыток входа. Хотя конечно лучше отбивать на подлёте. fail2ban напр, но это не для шареда.

По-хорошему надо просто fail2ban настроить...

В будущем в подобных случаях смотрите логи, наверняка там все было забито запросами к xmlrpc.php