Zabezpieczanie kont administracyjnych - wykrywanie nazwy użytkownika

Przez kilka tygodni zainstalowaliśmy Limit Próby logowania , a liczba prób brutalnej siły na wp-admin / wp-login jest niesamowita. Na początku wszystkie próby dotyczyły nazwy użytkownika „Administrator”, która nie istnieje na naszej stronie, więc uznałem to za irytację, ale nie za duże zagrożenie. Jednak teraz widzimy blokady występujące w przypadku innych nazwanych kont użytkowników administracyjnych i zupełnie nie rozumiem, w jaki sposób atakujący dedukują nazwy tych kont.

Żadne treści na naszej stronie nie są autorstwa nikogo w szczególności i nie mogę znaleźć innej lokalizacji na naszej stronie, w której te nazwy użytkowników są publicznie publikowane.

Masz pomysł, w jaki sposób nazwy użytkowników mogą być wykrywalne?

Jeśli masz włączone dość bezpośrednie łącza, WordPress przekieruje wszystkie wywołania do /?author=1archiwum autora z nazwą użytkownika, np /author/bob/.: I wtedy odwiedzający pozna nazwisko autora.

Użyj blokady logowania , ta wtyczka nie resetuje kont, blokuje adresy IP.

Sprytne robale. Myślę, że po prostu przekieruję żądania do /? Autor =. Brzmi rozsądnie? Coś jak:

add_action( 'template_redirect', 'my_author_redirect' );
function my_author_redirect() {
    if ( is_author() ) {
        wp_redirect( get_bloginfo( 'url' ), 301 );
        exit;
    }       
}