Как защитить сайт логином и паролем?

Защита строится на связке логина и пароля, а не на одном пароле: если у всех логин admin, атакующему остаётся угадать только вторую половину, и перебор идёт вдвое быстрее. Смените логин каждого сотрудника на уникальный, не связанный с должностью или очевидным именем, и держите пароли длиной от 16 символов в отдельном менеджере паролей, а не в блокноте на рабочем столе.

Логин admin — это первое, что пробуют автоматические боты при переборе, потому что это логин по умолчанию у миллионов сайтов на WordPress. Меняя его на что-то своё, вы не усложняете сам пароль, но отсекаете огромный пласт автоматических атак, которые вообще не доходят до подбора пароля — бот получает ошибку неверного логина и переходит к следующей цели.

Отдельная опасность именно для связки логин плюс пароль — переиспользование одной и той же пары на нескольких сайтах. Базы утёкших логинов и паролей с других сервисов продаются и проверяются ботами именно как готовые пары: если сотрудник использует тот же логин-пароль, что и на взломанном форуме или в другом сервисе, сайт ломают без всякого перебора, простой подстановкой уже известной комбинации.

Практический набор мер для команды из нескольких человек:

• у каждого сотрудника свой уникальный логин и пароль, не пересекающийся с другими его аккаунтами;
• пароль от 16 символов, сгенерированный менеджером паролей, а не придуманный вручную;
• лимит попыток входа в админку — блокировка IP после нескольких неудачных попыток;
• двухфакторная аутентификация хотя бы для администраторов с полным доступом.

При увольнении сотрудника или подозрении на утечку меняйте не общий пароль на всех, а конкретную учётную запись — в этом и смысл отдельных логинов вместо одного общего доступа на всю команду.