Да, согласен, просто сложный пароль — это ещё не гарантия. Особенно если не ограничить попытки и не поставить капчу, боты быстро накидают. Скрыть админку от глаз — тоже неплохой ход, чтобы снизить риск попадания под массовый перебор. Ну и 2FA — реально спасает, без него никак. Просто всё вместе работает, иначе одна мера мало что даст.