Das Thema WordPress-Sicherheit ist sehr umfangreich, deswegen hier nur zwei grundsätzliche Anmerkungen.
1. mit jedem zusätzlichen Plugin wird die Angriffsfläche erhöht. Weniger ist da oft mehr (Sicherheit).
Natürlich stets die Updates für WordPress, Plugins und das Theme durchführen.
Und das möglichst zeitnah. Automatische Updates gibt es ja inzwischen auch für einige Plugins.
Plugins, die keine Updates mehr erhalten, würde ich kurz- bis mittelfristig entfernen oder austauschen. Bei einer größeren Anzahl von Plugins, insbesondere auf Multisites, kann der regelmäßige Einsatz von
Plugin-Report einen guten Überblick verschaffen. Ich würde allerdings schon bei der Auswahl neuer Plugins darauf achten, dass die Kenndaten positiv sind. "Keine Daten verfügbar" kann u.U. problematischer sein als die rot gefärbten Werte.
2. auf das Worst-Case-Szenario vorbereitet sein: d.h. ein regelmäßiges Backup von Verzeichnis und Datenbank für den Fall, dass die Website trotz aller Vorsichtsmaßnahmen nach einem Hack neu aufgesetzt werden muss. Wobei ich ältere Backups nicht sofort entsorgen würde, jüngere könnten ja auch bereits "kontaminiert" sein.
Ansonsten finden sich mit den Suchbegriffen "WordPress härten" zahlreiche Tipps, wie die eigene WordPress-Installation weitergehender abgesichert werden kann. Einige mögliche hast du ja auch schon genannt. Wobei das Abschalten der Emojis eher aus Performance-Gründen gemacht wird :)