WP-Recall снимает защиту админки

Использую плагин защиты для своих сайтов iThemes Security.
Одна из функций этого плагина это смена URL входа в админку. Пример, меняем сайт.ру/wp-admin на сайт.ру/vhodadmin
Изучая сегодня исходный код главной страницы своего сайта я заметил, что wp-recall напрочь убирает защиту путём скрытия ссылки в админку, он этот URL показывает тут (часть кода):

<form action="https://сайт.ру/vhodadmin?action=lostpassword" method="post">
            <div class="form-block-rcl">
                <label>Логин или E-mail</label>
                <div class="default-field">
                    <span class="field-icon"><i class="fa fa-key"></i></span>
                    <input required type="text" value="" name="user_login">
                </div>
            </div>

Как видим любой хацкер теперь просмотрев исходный код найдёт доступ в админку.
Глянул исходный код на вашем сайте и увидел, что у вас на сайте плагин всё грамотно делает не вскрывая адресов (адреса вообще нет):

Вопросы:
- как мне можно прямо сейчас скрыть адрес, что править в плагине?
- планируется ли в ближайшем обновлении исправление данной ситуации?

Как мне скрыть URL, чтобы как и у вас на сайте его не было видно?

Я изучил исходный код страницы и вижу, что его у вас там нет (нигде):

И это правильно, поэтому хочется и нам аналогичный плагин иметь или хотя бы решение.

У меня на двух сайтах:

Otshelnik-Fm сказал(а)

у вас версия wp-recall какая?

Самая последняя. Устанавливал с репозитория Wordpress прямо на странице плагинов (Версия 14.0.25).

Если отключить скрытие админки, то в стандартном режиме там wp-login.php прописывается:

Андрей Plechev сказал(а)
если от этого станет легче, то в данном случае это баг, который требует устранения.

Андрей, у вас на сайте "правильный баг", который скрывает админку, лучше внесите его в общий плагин, иначе все плагины по скрытию адреса админки становятся бесполезными.

Otshelnik-Fm сказал(а)
у вас версия wp-recall какая?

Вы можете просмотреть у себя на сайте, у вас тоже изменённый адрес, но плагин его вскрыл.

Андрей Plechev сказал(а)

Виктор сказал(а)

Андрей, у вас на сайте "правильный баг", который скрывает админку, лучше внесите его в общий плагин

Позвольте мне судить что в данном случае правильно, а что нет.
Отсутствие урла в форме восстановления пароля делает невозможным собственно само восстановление и такой правильный баг можете оставить на своем сайте.

Я не считаю, что знаю лучше вас плагин и его работу. Я не пытаюсь вас учить писать код. Я не пытаюсь вас оскорбить. Я не говорю, что ошибка восстановления пароля это правильно. Я же в кавычки взял выражение "правильный баг".

Выражусь понятнее. При скрытии админки мы это делаем специально с определённой целью. Плагин WP-Recall отображает, то что мы скрывали. С точки зрения логики такое поведение плагина некорректное, если его рассматривать как часть общей экосистемы сайта, а не как плагин, которому не надо больше ни с кем взаимодействовать.

Скрывая админку мы и дальше хотим, чтобы админка была скрыта от посторонних глаз. Можно использовать плагины блокировки по IP при неверном введении пароля, однако таким образом мы можем заблокировать не одного пользователя, а группу лиц пользующихся одним провайдером и имеющих общий IP и т.д.

Поэтому огромная к вам просьба рассмотреть возможность улучшения функционала плагина в части восстановления пароля (возможно и в других местах), чтобы он не выводил ссылку на админку, а, к примеру, получал URL сразу перед отправкой запроса на восстановление пароля и отправлял уже данные по ней. Сейчас плагин получает ссылку и вписывает его сразу в "action". Возможно есть и другие способы решения данного вопроса, о которых я не подозреваю, к примеру, шифрование ссылки.