Cualquier sistema conocido es vulnerable a ataques porque cualquiera puede bajarlo y ver cuáles son los fallos. [MENTION=114485]Jebu[/MENTION]
Las secret keys se añaden al archivo wp-config, en el propio archivo indican dónde ponerlas, por defecto vienen en blanco.
Hay muchos plugins que te indican qué cambiar para que el sitio sea más seguro, uno de los que más indicaciones te da es All In One Firewall pero aún así tuve un hackeo por eso te digo que pienso que depende mucho del hosting también, y hostings de alto reconocimiento tmabién los he visto hackeados o bajo ataques, así que nada es 100% seguro.