Я, например, когда нужна допзащита, и не хочу сильно заморачиваться, просто тупо закрываю директорию с админкой через .htaccess.

Как дополнительную меру предосторожности, можно сделать отправку вам e-mail, sms, telegram, когда кто-то заходит в админку. Это пара строчек кода.