Protegendo contas de administrador - descoberta de nome de usuário

Temos as Tentativas de login com limite instaladas há algumas semanas, e o número de tentativas de força bruta que ocorrem no wp-admin / wp-login é bastante surpreendente. No início, as tentativas eram todas com o nome de usuário "Admin", que não existe em nosso site, por isso considerei um aborrecimento, mas não uma ameaça. No entanto, agora estamos vendo bloqueios ocorrendo com outras contas de usuário administrador nomeadas e estou completamente sem entender como os invasores estão deduzindo os nomes de usuário dessas contas.

Nenhum conteúdo em nosso site é de autoria de ninguém em particular e não consigo encontrar nenhum outro local em que esses nomes de usuário sejam publicados publicamente.

Alguma idéia de como os nomes de usuário podem ser descobertos?

Se você tem permalinks bonitas habilitado WordPress irá redirecionar todas as chamadas para /?author=1o arquivo de autor com o nome do usuário, por exemplo .: /author/bob/. E então o visitante saberá o nome do autor.

Use o bloqueio de login , esse plug-in não redefine contas, ele bloqueia endereços IP.

Buggers espertos. Eu acho que vou redirecionar solicitações para /? Author =. Parece razoável? Algo como:

add_action( 'template_redirect', 'my_author_redirect' );
function my_author_redirect() {
    if ( is_author() ) {
        wp_redirect( get_bloginfo( 'url' ), 301 );
        exit;
    }       
}