Напишите статью по оптимизации производительности без плагинов.

function query_key_protection_for_login_page() {
   $QueryKey = '?SecretKey=25637653269';
   $myRequest = 'http://' . $_SERVER['SERVER_NAME'] . '/' . 'wp-login.php' . '?'. $_SERVER['QUERY_STRING'];

   if ( site_url('/wp-login.php').$QueryKey == $myRequest ) {
     // echo 'Строка запроса совпадает';
   } else {
     exit('Оба-на! Ну и зачем же ты сюда полез?');
   }
}
add_action('login_head', 'query_key_protection_for_login_page');

При этом перенаправления на главную не будет, просто будет выведено сообщение «Оба-на! Ну и зачем же ты сюда полез?».

А чтобы вообще никуда не перенаправлять и не выводить сообщений, можно просто использовать «exit» без параметров:

exit();

Кстати, можно использовать и функцию-синоним — «die()», которая будет делать то же самое:

die('Оба-на! Ну и зачем же ты сюда полез?');

или

die();

SQL-injection все же чуток другое, чем брутфорс, хотя и ими тоже нередко пробивают именно доступ к паролю админа.

Очень неплохую защиту от SQL-injection например предоставляет плагин BulletProof Security для WordPeress, записывая в .htaccess кучу очень надежных блокировок против инжекций. На их форуме можете найти кучу советов, или просто посмотреть в коде самого плагина.

Ну а самая «крутая» защита от попыток залогиниться — удалить, переименовать или сделать пустым (что-то вроде < ?php exit; ?>) файл wp-login.php, хотя потом, для того, чтобы самому залогиниться, нужно опять же например через FTP-доступ переименовать или вернуть файл на место. Неудобно, но результативно, особенно когда знаешь, что очень долго не будешь заходить в панель управления WP.