Пытаются найти админку

Спорный совет. Будут брутить, увеличивая нагрузку на хостинг.

Если не шаред хостинг, то обычно решается через fail2ban без проблем

Просто паролим htpasswd'ом директории с админкой и не паримся. Главное хороший пароль.

если конечно в ресурсах не ограничены..

На каждый запрос нужно серверу ответить. Чем жирней ответ, тем больше ресурсов они отъедают.

Например, иногда нужно нарисовать страницу авторизации, а иногда нужно проверить логин/пароль, вычислить хэш, проверить в бд, нарисовать в ответ целую страницу и т.п. И все это для бота.

Зачем? Можно ведь просто ответить, что такой страницы нет и все. ☝

у вас прям культ костылей какой-то.

Закройте админки в htaccess и все.

Перед входом, через фтп правите файл, заходите. После изменений на сайте снова закрываете.

Брутом вордпресса не вызвать критической нагрузки для хостинга, ну если хостинг нормальный. Да и DDoS большинство современных качественных хостингов отбивают по умолчанию, по этому это не должно волновать клиента хостинга.

А сбрутить рандомный пароль из десяти и более знаков на вордпресс невозможно даже теоретически.

У нормальных хостеров есть четкие лимиты по нагрузке. Превышаешь - получаешь письмо с предупреждением. В одно время у меня брут Вордпреса давал около 30% всей нагрузки при трафике ~30к просмотров. Терпеть этот брут и переплачивать за повышенную нагрузку смысла нет.

По сути согласен, но на практике уже давно с таким не сталкивался. Хостинги динозавны не в счет, а на нормальных современных хостингов обычный брут не приводит к превышению нагрузки, а если брут многопоточный с кучей проксей и сотней потоков, то это опять же нормальными хостингами расценивается как DDoS и меры принимаются автоматически. Например тот же бегет в этом случае автоматом начинает кешировать PHP скрипт и обновлять кеш раз в пять или десять минут, а на подобные запросы отдавать NGINXом статическую сохраненную в кеш html страничку. :-)

На одном из сайтов я просто дополнительно закрыл доступ к админке через .htaccess и .htpasswd (т.е. для входа нужно знать 2 пароля...)

Соответственно, чтобы получить доступ к админке и ее "дыркам" нужно указать первый пароль из .htpasswd ...

man fail2ban

Прикол в том, что описанный мною случай был как раз на Бегете. Вип-шаред, тариф Town вроде.

Брутили в основном через xmlrpc.php плюс немного через wp-login.php.В итоге поставил ограничение по ip через htaccess и забыл об этой проблеме навсегда.