Zo iets hoort onderdeel te zijn van de CORE, Het is natuurlijk best interessant om brute-force beveiliging, verborgen inlogpromps, uitschakelbare API/JSON interfaces etc als plugin te verkopen en het op die manier niet in de core te programmeren. Ik heb het gevoel dat je daarom misschien ook wel zoveel plugins ziet die hetzelfde doen, probleem is alleen dat ze vaak problemen kunnen geven als de core wordt aangepast. Het zou echt een beter product worden als ze dat soort maatregelen wel in core zouden plaatsen, of een handleiding verstrekken waar in staat of je /wp-json gerust achter een server-level-login kunt zetten en hoe je /wp-admin verplaatst. Een ideale applicatie zou op zichzelf, out-of-the-box, eigenlijk veilig moeten zijn en tegen alle bekende aanvallen beveiligd. Ook open-source software, of misschien juist wel. Nu zie je zelfs op sites waar helemaal geen Wordpress op staat de hele dag verzoekjes naar die bestanden (xmlrpc, wp-admin, wp-json), duidelijk een teken dat die erg interessant zijn ...