Главное — не пускать к админке сразу всех подряд, а то она быстро станет как бесплатный тренажёр для брутфорса. Хоть сложный пароль ставь, без 2FA и лимитов на попытки — толку мало, всё равно сожрут. Ну и капча не для красоты, а чтобы боты попотели хоть немного. Вот и весь секрет.