Bu Nasıl Olabiliyor?

Arkadaşlar ben functions.php dosyama yazdığım aşağıdaki kod ile login denemelerini engellemek için belli bir ip adresi hariç wp-admin'i diğer tüm ip adreslerine kapattım.

/* WP-Admin IP Erişimini Blokla */
 
function block_all_user_except_allow() {
$allow = array("127.0.0.1"); */ Burada benim ip adresim yazıyor

if (!in_array ($_SERVER['REMOTE_ADDR'], $allow)) 
{
    header("Location: https://www.domain.com");
    die();
}
}
add_action('login_init', 'block_all_user_except_allow');

Ama güvenlik raporunda yine de 27 deneme olduğunu görüyorum.. Evet normal sayının çok çok çok altında normal günde 200 deneme olur ama yine de birileri belli ki bu kodu bypass edebilmiş.. Bu nasıl olabildi bir fikriniz var mı?

login sayfasının yüklenmesini engellemiş olabilirsiniz ancak post isteğini çalıştırıyor olabilirler. En sağlamı cloudflare üzerinden wp-login, wp-admin geçen tüm path leri sizin ip adresiniz dışındaki isteklere kapatmak