Как максимально защитить Wordpress на nginx?

Как и всегда, отдельный пользователь на vps и минимум прав, логи, проверенные плагины и темы. Доступ к wp-admin и wp-login.php через скан сетчатки глаза

Сам сейчас задаюсь подобным вопросом, так как один из сайтов будет работать на wordpress. Я для себя сделал следующее - вынес админку на отдельный поддомен, которую закрыл по кукам. Удалил все упоминания о wordpress, в том числе папки wp-content. Грубо говоря оставил из Wordpress только "фреймворк", удалив все остальное.

Посмотрим, что из этого выйдет.

Можно почитать https://habrahabr.ru/post/244911/ как пример, но на мой взгляд, там костыль какой-то, а админку закрыть можно по ip вставкой одного блока в конфиге в помощью модуля http://nginx.org/ru/docs/http/ngx_http_access_module.html

На отдельный поддомен это круто....

---------- Добавлено 30.03.2017 в 12:40 ----------

По закрытию админки, добавил правило:

location /wp-login.php {

allow IP;

deny all;

}

Внешним IP все нормально, доступ закрыт, но мне, также закрыт, захожу в админку и предлагает скачать файл wp-login.php. Можно ли это исправить?

---------- Добавлено 30.03.2017 в 12:41 ----------

Еще вот что нашел:

https://wiki.diphost.ru/Recipe_nginx_WordPress

На сколько эффективная такая будет защита?

Нужно примерно так:

location / {

	location ~* /wp-admin/.*\.php$ {

	allow 11.11.111.0/24;

	deny all;

try_files /does_not_exists @fallback;

}

Где ip в данном случае для динамического ip, если для статики то просто пишите просто полный ip

Добавьте попробуйте строчку в вашем блоке(чтобы не предлагал скачать)

try_files /does_not_exists @fallback;

после deny all;

location / {

	location ~* /wp-admin/.*\.php$ {

	allow 11.11.111.0/24;

	deny all;

try_files /does_not_exists @fallback;

}

Добавил строчку

Выходит вообще ошибка:

500 Internal Server Error

Так ни кто не знает как это победить? :(