Как закрыть доступ к сайту?

Проще всего защитить сайт паролем на уровне сервера через Basic Auth (.htpasswd) — это работает независимо от CMS, страницы не попадают в индекс поисковиков, а настраивается за 5-10 минут в панели хостинга или парой строк в файле .htaccess на Apache. Открыть сайт обратно так же просто: убрать эти строки или выключить опцию в панели.

Для WordPress есть альтернатива вроде плагина Coming Soon Page, но это, по сути, красивая заглушка на уровне самого движка, а не защита — при прямом обращении к отдельным файлам или через уязвимость в другом плагине сайт всё равно доступен. Basic Auth перекрывает доступ раньше, ещё до того, как запрос дойдёт до CMS.

Если нужно не спрятать сайт полностью, а просто не пустить в него поисковики, помогает связка disallow в robots.txt и метатег noindex — но учтите, это не защита от людей, ссылку на сайт всё равно можно найти и открыть. Для полноценной приватности нужен именно пароль.

Отдельно стоит держать в голове дату запуска: ограничение доступа легко забыть снять, и тогда уже готовый сайт продолжает отдавать окно с логином и паролем всем посетителям вместо самого себя. Стоит внести в чек-лист перед публикацией отдельным пунктом — проверить, что .htaccess не блокирует ничего лишнего.