htaccess отклоняют, формируют все wp-login.php блоки “большинство” адреса, но не все

Один из моих сайтов был недавно взломан. Для создания этого коротким у меня была старая версия wisiya выполнения новостных рассылок, которое использовалось для загрузки нескольких файлов в каталоге wp-содержания. С тех пор много вещей изменилось относительно безопасности этого домена.

Среди прочего я реализовал глобальное блокирование для wp-login.php через .htaccess следующим образом:

<Files wp-login.php>
Order deny,allow
Deny from all
Allow from my.own.static.ip.adress
</Files>

Я сравнил accesslogs до и после реализации этого изменения, и был доволен результатами. Все попытки несанкционированного доступа были заблокированы с 403 ответами.

До сих пор.... Sucuri сообщил мне по электронной почте, что кто-то, должно быть, получил доступ к форме входа в систему и отправил единственный запрос входа в систему к серверу.

IP Address: 192.96.204.237

Notification:
User authentication failed: admin

Это было после того, как я изменил .htaccess файл... Поскольку я все еще довольно плохо знаком с апачем и безопасностью в целом, кто-то может объяснить мне, как это даже возможно?

С наилучшими пожеланиями, Michael