Покрывать админку только паролем — это почти самоубийство. Лимит попыток и 2FA сейчас должны быть обязательными, иначе боты быстро всё проломают. Я ещё капчу ставлю, чтоб совсем усложнить жизнь скриптам. Ну и fail2ban — простое, но эффективное решение для автоматической блокировки очередных атак. Без таких штуковин держать админку открытой — как в замок без засовов заходить.