на самом деле, скрыть основную массу плагинов от большинства таких утилит (включая wp-scan), достаточно просто:
1 перемещаем и переименовываем папку wp-content
2 перемещаем все ассеты на cdn, либо используем плагин для оптимизации фронтенда (минифицируем и конкатенируем скрипты и стили) и перемещаем полученное на cdn
3 убираем строку generated by - у WP и плагинов
4 прикрываем стандартные эндпоинты, вроде wp-login.php, rest api и тп (так же доступно через плагины)
5 не используем некоторые специфичные для WP сервисы (jetpack, gravatar и тп)
В некоторых случаях таким алгоритмом можно будет запутать даже человека. Но на самом деле практического смысла в этом вообще нет.
Единственный нормальный вариант, когда это все скрывается, это когда используют headless WP. Но в этом случае как таковой цели скрыть WP не стоит, это скорее побочный эффект