ブルートフォースアタックのhtaccessについて教えてください

#ベーシック認証
AuthType Basic
#ベーシック認証パスワードファイル位置指定
AuthUserFile /************/wp-admin/.htpasswd
#アクセス許可する権限ユニット　用途にあっていればよいのですが詳細指定が不明かと
AuthGroupFile /dev/null
#表示ボックスタイトル
AuthName "Please enter your ID and password"
#二つ上の許可ユニットからの対応宣言ですが　バリデートされたユーザーなら（ログインが通ったら）だれでもログイン可能
Require valid-user
#特定のファイルに対して
<FilesMatch "(admin-ajax.php)$">
#ベーシック認証かＩＰアドレス制限のどちらかで制限
    Satisfy Any
#許可を優先しその後不可を執行
    Order allow,deny
#全員アクセス可能
    Allow from all
#不可　なし？
    Deny from none
</FilesMatch>

#スコープを対象ファイルから全体にもどして
#ベーシック認証かＩＰアドレス制限のどちらかで制限
Satisfy Any
#執行順序　こちらは一般的かと思います（排除してから、許可を記載）
Order deny,allow
#全排除
Deny from all
#許可ＩＰ
Allow from ***.***.***.**** #許可するIPアドレス
#そしてまた上記と同じ内容
<FilesMatch "(admin-ajax.php)$">
    Satisfy Any
    Order allow,deny
    Allow from all
    Deny from none
</FilesMatch>

上記のような条件だとおもうのですがいかがでしょうか。
またご提示いただきました内容については以下のようですがいかがでしょうか。

# Stop spam attack logins and comments
#リダイレクタへの指定
<IfModule mod_rewrite.c>
#転送式　開始
	RewriteEngine On
#POSTアクション受信の場合
	RewriteCond %{REQUEST_METHOD} POST
#コメント投稿とログインの場合
	RewriteCond %{REQUEST_URI} .(wp-comments-post|wp-login)\.php*
#送信元（直前のページ）がどこであるか
	RewriteCond %{HTTP_REFERER} !.*example.com.* [OR]
#ユーザーエージェント（送信ソフトウエアの固有情報：各ソフトにより任意）
#なければ（ブラウザではない可能性、プログラムである可能性が大きいので）
	RewriteCond %{HTTP_USER_AGENT} ^$
#転送
	RewriteRule (.*) http://%{REMOTE_ADDR}/$1 [R=301,L]
</ifModule>

書き方として、拒否ありき、全拒否からのアクセス許可が望ましいと思いますが
拒否先が特定で許可対象のほうが多いのならば、拒否する旨をなによりも先に書くのがよいと思うのですがいかがでしょうか。
オーダー・ディナイでまずディナイフロム拒否ＩＰを指定して、アローオールで希望の動作に至りませんでしょうか。

編集（追記）：
あとすいません。ＩＰひとつなら全拒否で許可１件のほうがいいですね。
それと、Wordpress案件なので、プラグインでセキュリティについて複数回ログイン施行で停止措置にするものなどの導入はいかがでしょうか。

• この返信は5年、 12ヶ月前にmsioが編集しました。理由: 記載事項に抜けがありましたもので追記いたしました。