Protección de cuentas de administrador: descubrimiento de nombre de usuario

Hemos tenido intentos de inicio de sesión limitados instalados desde hace algunas semanas, y la cantidad de intentos de fuerza bruta que ocurren en wp-admin / wp-login es bastante sorprendente. Al principio, todos los intentos fueron con el nombre de usuario "Admin", que no existe en nuestro sitio, así que lo consideré una molestia pero no una gran amenaza. Sin embargo, ahora estamos viendo bloqueos que ocurren con otras cuentas de usuario administrador nombradas y no entiendo completamente cómo los atacantes deducen los nombres de usuario de estas cuentas.

Ningún contenido en nuestro sitio es creado por nadie en particular y no puedo encontrar ninguna otra ubicación en nuestro sitio donde estos nombres de usuario se publiquen públicamente.

¿Alguna idea de cómo se pueden descubrir los nombres de usuario?

Si usted tiene enlaces permanentes bonitas permitido WordPress redirigir todas las llamadas a /?author=1al archivo de autor con el nombre de usuario, por ejemplo .: /author/bob/. Y luego el visitante sabrá el nombre del autor.

Use Login Lockdown , ese complemento no restablece las cuentas, bloqueará las direcciones IP.

Buggers inteligentes. Creo que solo voy a redirigir las solicitudes a /? Author =. ¿Suena razonable? Algo como:

add_action( 'template_redirect', 'my_author_redirect' );
function my_author_redirect() {
    if ( is_author() ) {
        wp_redirect( get_bloginfo( 'url' ), 301 );
        exit;
    }       
}