Trotz .htaccess-Passwort meldet Wordfence login-Versuche

Hi,

der admin-access von urseetal.net ist mit einem Passwort in der .htaccess Datei geschützt. Ich verstehe nicht wie einer dann noch zu login-Versuchen kommt. Wordfence meldet:

A user with IP address 92.63.87.10 has been locked out from the signing in or using the password recovery form for the following reason: Exceeded the maximum number of login failures which is: 10. The last username they tried to sign in with was: 'admin'
User IP: 92.63.87.10
User hostname: ip87-10.mwtv.lv
User location: Riga, Latvia

Kann mit das jemand bitte erklären. Ich dachte, mit dem Passwort in der .htaccess Datei wäre das erledigt.

Gruß

Bernhard

<Files wp-login.php>
AuthName "Admin-Bereich"
AuthType Basic
AuthUserFile .../.dirCDEcapassword/.htpasswd
require valid-user
</Files>

<FilesMatch "(.htaccess|.htpasswd|wp-config.php|liesmich.html|readme.html)">
order deny,allow
deny from all
</FilesMatch>
# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress
(pfade verborgen)

Wenn ich die Seite aufrufe, und an urseetal.net auch nur /admin hänge kommt die von .htaccess ausgelöste Passwortabfrage, bei wp-login.php sowieso. Es sollte meines Wissens garnicht zum Login kommen. Habe ich einen Denkfehler? Das htaccess-Passwort ist auch mit Passwort-Safe generiert und sollte unter normalen Umständen sicher sein.

Ich bin wirklich neugierig.

Gruß
Bernhard

ich hab jetzt mal xml-rpc inaktiviert, in functions.php. mal sehen , was passiert.

BTW: Dass die Seite http://fastwp.de/2068/ nur ohne Add-Blocker funktioniert, spricht m.E. nicht für sie.