Zdravím, nějak nám roboti bruteforcujou Magento adminy. Změnil jsem URL adminů z default /admin na něco specifického (to jsem měl stejně v plánu), ale bruteforce pokračuje dále. Jediné co mne napadá, že roboti tam mohou lézt ještě přes API/WS. Podle mne by bylo nejlepší komplet vypnout Magento API, když není u daného webu potřeba… Máte s tím někdo nějaké zkušenosti?
Nejbezpečnější je nastavit allow/deny pro cesty přímo v nginx/apache, což je ale z mnoha důvodů nepohodlné, ne každý se přihlašuje do správy je z určitých adres. Já na nginx používám bad bot blocker, který filtruje boty a IP adresy a lze jej snadno upravit. Ještě mám nastavený fail2ban nastavený přímo na přihlašovací formulář adminu, postup je zde.
Ještě jednou jsem si přečetl tvou otázku 
Útoky pokračují i po změně cesty k administraci? Cestu jsi změnil v konfiguraci Magenta nebo v local.xml? Není náhodou soubor www.domena.cz/app/etc/local.xml přístupný z prohlížeče?
Útoky jsou cíleny opravdu na přihlašovací form administrace? Není to náhodou na www.domena.cz/rss/order/new/ ?
Zkontrolujte uživatelů a rolí System > Web Services.
Přepínač CAPTCHA: System > Configuration > Admin > Enable CAPTCHA in Admin
Dát příklad log-souborů, možná je to jen roboti vyhledávačů nebo paranoia