Securizar WordPress es una tarea amplia y aqui vamos a ir situando algunas opciones sencillas de implantar:

Deshabilitar el obsoleto xmlrpc, ya en desuso. Las versiones futuras de WordPress lo llevarán deshabilitado por defecto, pero de momento hay que editar y modificar el .htaccess de nuestro sitio:

<files xmlrpc.php> 
order deny,allow 
deny from all 
allow from xxx.xxx.xxx.xxx 
</files>

Autorizar el acceso a la administración desde una ip o lista de ips autorizadas:
Sobre el fichero .htaccess de nuestro sitio…

<files wp-login.php>
order deny,allow
deny from all<
allow from xxx.xxx.xxx.xxx
</files>

Deshabilitar recuperar contraseñas
Sobre el fichero wp-login.php de nuestro sitio, cambiar parámetros de $default_actions para deshabilitar lostpassword y resetpass …

$default_actions = array(
‘confirm_admin_email’,
‘postpass’,
‘logout’,
//’lostpassword’,
‘retrievepassword’,
//’resetpass’,
‘rp’,
‘register’,
‘login’,
‘confirmaction’,
WP_Recovery_Mode_Link_Service::LOGIN_ACTION_ENTERED,
);