Application Passwords vs XML-RPC: что оставлять и как не открыть лишнюю дыру

XML-RPC и Application Passwords — разные входы. Как я закрываю xmlrpc.php на nginx, почему фильтр xmlrpc_enabled не считается закрытием, и как не оставить токен приложения с правами администратора.