Trotz Absicherung fehlgeschlagene Logins durch Hackversuche

Nachdem die ganzen Bruteforce Attacken ja mittlerweile massiv zugenommen haben habe ich vor 2 Wochen meine Seite noch besser geschützt. Vor allem die Bruteforce aufs Login habe ich geblockt durch:
1. in der htaccess Zugriffe auf die wp-login.php und die xmlrpc-Schnittstelle auf 2 IPs beschränkt (die xxx sind nur hier für das Forum ;)

<Files wp-login.php|xmlrpc\.php>
order deny,allow
Deny from all
# whitelist
allow from 145.xxx.xxx.xxx
allow from 188.xxx.xxx.xxx
</Files>
# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

2. per htaccess den Zugriff auf das wp-admin Verzeichniss auf 2 IPs beschränkt

order deny,allow
allow from 145.xxx.xxx.xxx
allow from 188.xxx.xxx.xxx
deny from all

Trotz alle bekomme ich von meinem Sucuri Sicherheitsplugin immer wieder fehlerhafte Logins gemeldet.
In meiner .htacces im Hauptverzeichnis kommt vor dem hier geposteten Code noch ein großer Bereich den WP Rocket anlegt. Kann das ein Problem sein?
Was übersehe ich da?
Danke für eure Hilfe.

Ich habe die Ursache gefunden. Durch die Syntax in der ersten Zeile hat der Befehl nicht funktioniert. Scheinbar lässt die htaccess Syntax die Aneinanderreihung nicht zu.