htpasswd

Installeer de plugin Limit Login Attempts Reloaded als backstop op applicatieniveau. Aanbevolen instellingen: lockout na 5 mislukte pogingen, blokkade van het IP-adres voor 24 uur, en een e-mailmelding aan de admin bij elke lockout. Dit is de laatste vanglijn als de Cloudflare-rate-limit onverhoopt omzeild wordt.

Stap 4: HTTP Basic Authentication op wp-login.php

Voeg een extra authenticatielaag toe vóór de WordPress-loginpagina. Via .htaccess en een .htpasswd-bestand eis je een gebruikersnaam en wachtwoord, nog voordat WordPress laadt:

# Bescherm wp-login.php met HTTP Basic Auth
<Files wp-login.php>
    AuthType Basic
    AuthName "Beheerderstoegang"
    AuthUserFile /pad/naar/.htpasswd
    Require valid-user
</Files>