Nhờ tư vấn về việc chặn bot attack wp-login, xmlrpc.php và cache

Chào các bác. Site em chạy wordpress dạo này hay bị +100% CPU, check ra thì thấy wp-login và xmlrpc bị request nhiều nhất. Mới đây đã cài wordfence mà vẫn ko ăn thua. Các bác cho em hỏi có phương án nào chặn triệt để mấy cái loại spam bot này không ạ? #2 Em đang ko biết tối ưu cache như nào cho hiệu quả. Đang dùng wprocket, rồi lại chạy qua cả cloudflare. Đang không rõ như vậy có ảnh hưởng xấu gì đến site không. Đấy là các cách em hay dùng, nhưng vẫn chưa rõ có phải là tối ưu ko, khéo lại chồng chéo rồi gây xung đột này khác. Nên nhờ các bác nào có kinh nghiệm tuốt lại giúp em nên dùng cách nào là chuẩn nhất. Cảm ơn các bác.