Sichern von Administratorkonten - Erkennung von Benutzernamen

Wir haben seit einigen Wochen Limit-Anmeldeversuche installiert, und die Anzahl der Brute-Force-Versuche, die bei wp-admin / wp-login auftreten, ist ziemlich erstaunlich. Anfangs waren alle Versuche mit dem Benutzernamen "Admin", der auf unserer Website nicht vorhanden ist, daher empfand ich dies als Ärger, aber nicht als große Bedrohung. Jetzt treten jedoch Sperren bei anderen benannten Administratorbenutzerkonten auf, und ich bin völlig ratlos darüber, wie die Angreifer die Benutzernamen dieser Konten ableiten.

Kein Inhalt unserer Website wurde von jemandem verfasst, und ich kann keinen anderen Ort auf unserer Website finden, an dem diese Benutzernamen öffentlich veröffentlicht werden.

Irgendeine Idee, wie Benutzernamen auffindbar sein könnten?

Wenn Sie hübsche Permalinks aktiviert haben, leitet WordPress alle Aufrufe /?author=1mit dem Benutzernamen an das Autorenarchiv weiter, z /author/bob/. Und dann kennt der Besucher den Namen des Autors.

Verwenden Sie die Anmeldesperre , damit das Plugin keine Konten zurücksetzt und IP-Adressen blockiert.

Clevere Kerle. Ich denke, ich werde nur Anfragen an /? Author = umleiten. Klingt vernünftig? Etwas wie:

add_action( 'template_redirect', 'my_author_redirect' );
function my_author_redirect() {
    if ( is_author() ) {
        wp_redirect( get_bloginfo( 'url' ), 301 );
        exit;
    }       
}