Мне кажется, главное — не забивать на обновления и пароли. Если движок и плагины старые, дыр полно, только успевай латать. Ещё реально спасают два фактора и ограничение доступа на админку. Ну и фильтровать всё, что от пользователей летит, иначе можно получить кучу проблем с XSS и SQL-инъекциями. Простые меры, но они реально работают, проверено.