CMS WordPress. Атакуют сайт Вордпресс

Друзья, помогите решить проблему.
С июня месяца сайт стали атаковать боты. Сайту около 10 лет, активность на нем не высокая - не больше 100-200 пользователей в день. И тут вдруг все взлетело, на самом пике было 75 тыщ пользователей. Хостинг ругается на превышение допустимой нагрузки на сервер.
Я обновила настройки плагина All In One WP Security, закрыла админку еще и со стороны хостинга. Немного помогло. Активность снизилась, месяц даже сайт укладывался в отведенные 100 процессорных минут. В августе снова пошла активность. Я настроила защиту через Cloudflare. Активирован Under Attack Mode. В итоге удалось снизить кол-во пользователей до 5 тыщ. Но это все равно очень много. Вчера сайт сожрал аж 250 процессорных минут. Подскажите, что еще можно сделать?

1. Установите плагин Kama SpamBlock ru.wordpress.org/plugins/kama-spamblock/ , он старый, но работает идеально от спама
2. Измените Пользовательский URL-адрес для входа: замените мой сайт/wp-admin/ например: /Section/. Есть плагины, но только специальные для изменения адреса входа, а не "комбайн полной защиты".
3. Установите techbear.ru/automatic-ip-firewall/с запуском через Cron один раз в день в 4-6 утра, когда маленькая нагрузка.
4. Настройте на хост. Ограничение доступа Страны, напр. Афганистан, Алжир, Американское Самоа, Ангола, и т.д.
5. All In One WP Security не надо (выше перечисленное заменит весь плагин Security)

Чтобы упростить анализ лога посещений:

1. Вывели флаги с информацией о стране посетителя.
2. Улучшили отображение информации, чтобы легче было понимать лог сервера.

Сразу стало видно, что ваш сайт активно посещают боты с рф.

Если это не ваша аудитория, то можете заблокировать в настройках сайта рф, предварительно отключив CloudFlare.

А нужен ли вообще CloudFlare?
Если у Вам подавляющее кол-во посетителей (покупателей) из Украины или Киева.
То ближайший сервер CloudFlare для Ваших клиентов, если конечно повезет будет из Англии, а так в основном из Канады, т.е. связь через океан.

Это не помогает. У меня в панели хостинга запрещен доступ, например, Тайланду и Сейшелам, а прямо сейчас гугл-аналитика показывает что оттуда идет трафик

Почему вы против этого плагина? Он мне весь .htaccess сделал.

Отключила. Посмотрим, сработает ли

У меня аудитория со всего мира

irinatrf,
что Вы и где отключали, я не знаю...
но в Ваших действиях, я заметил главное: Вам предложил представитель хостинга отключить рф. И Вы через 20 часов: Отключила. Посмотрим, сработает ли
Этим все сказано.

Простите, что сказано и кому?

Насколько я понял - был отключен CloudFlare, аудитория нужна со всего мира, поэтому блокировать по странам тут неприемлемо.

тоже не плохо, получается надо переходить на более высокий тариф?!

Я отключила на стороне хостинга доступ из рф и, действительно, сейчас посещаемость упала вообще в ноль. Но на перспективу такой вариант не подходит. Потому что сейчас боты из рф, потом будут боты откуда-то еще. Раз они находят лазейку к сайту, значит нужно ее найти и устранить. Иначе таким образом нужно вообще от всего мира отключиться и оставить в доступе только свой собственний ip

1. Вот и ладненько, поздравляю - начало есть!
2. Надо понять причину "интереса" к сайту и постараться убрать этот "интерес":
   
   • надежный пароль
   • изменить Пользовательский URL-адрес для входа, боты в большинстве случаев лезут в /wp-admin/, если конечно у Вас сайт не с "фокусами" и "изюмной"
   • установите Автоматический IP файрвол, он не решит всех проблем с плохими ботами, но БД у них обновляется и это помогает. И главное нет нагрузки на сайт.
     Комбайн-безопасности мне весь .htaccess сделал и что? Эти комбайны прописывают больше чем надо. Постарайтесь не усложнять, а упрощать сайт и не создавать лишние и не нужные нагрузки.
     Для плодотворной работы с плагинами типа All In One WP Security, - надо обязательно иметь глубокие знания. Но имея Глубокие знания Вы не будете использовать плагины безопасности.
     Желаю Удачи!