Als je een statisch ip hebt dan kun je daarop filteren in je wp-login.php. dat zal veiliger zijn. Persoonlijk zou ik inderdaad meerdere dingen doen die jij ook voorsteld. En of je xmlrpc gebruikt, test dat even, zo niet uitschakelen. In cloudflare kun je ook bot modus inschakelen wat dan een challenge geeft. 2fa op je logins zal ook helpen. Je kunt ook honeypots opzetten door met plugin je wplogin.php te hernoemen en vervolgens een ip logger op wplogin.php te plaatsen. Vervolgens die ips blokkeren die toch op die pagina komen. Het hangt verder van je use cases af, bijv of andere gebruikers buiten jou kunnen inloggen, wat nuttig is toe te passen. Ik heb ooit voor een wordpress site via simply static een html variant lokaal gegenereerd, aangezien het allemaal statische paginas waren. Dit toen geupload naar cloudflare pages. Dit is het meest veilig en je hebt geen eigen server nodig ondat statische content gratis in cloudflare freetier past. Maar de juiste beveiliging zou afhangen van hoe de site gebruikt ...