WordPress сам по себе не является «дырявой» системой. Большинство проблем с безопасностью возникает из-за устаревшего ядра, плагинов и тем, слабых паролей, лишних компонентов и неправильно настроенного доступа к сайту. Поэтому защита WordPress — это не установка одного специального плагина, который якобы закроет все возможные уязвимости. Нужен набор мер, которые дополняют друг друга. Часть настроек можно выполнить вручную: обновлять WordPress, использовать сложные пароли, ограничивать права доступа, отключать ненужные функции и правильно настраивать сервер...

Половина владельцев сайтов на WordPress считает, что взлом - это что-то из разряда «не со мной», пока не получает от хостера письмо с требованием почистить сайт от вредоносного кода. В моей практике встречались проекты, где владелец узнавал о заражении только после того, как Google выкидывал сайт из выдачи с пометкой о безопасности. На клиентских проектах я регулярно вижу одну и ту же картину: сайт годами не обновлялся, стоял логин admin и пароль в духе «site2019», а плагины ставились без разбора, лишь бы работало...