1. В настройках установить "не индексировать" - в robots.txt будет "Disallow /" для всех роботов. Теоретически этого достаточно, но некоторые роботы могут проигнорировать. Впрочем, основные (Google, Yandex и тд) не игнорируют, так что можно считать что это достаточно надежный способ.
2. Дополнительно, не стоит сильно переживать, так как адреса то разные будут, и по идее как раз вторая копия будет "дубликатом", даже если и проиндексируется. Теоретически, позиции первой, оригинальной копии не должны страдать. Но тоже могут быть нюансы.
3. Сайты, которые не должны быть публичными (песочницы всякие, staging-сайты) принято закрывать от публичного доступа вообще. Вариантов как это сделать - масса. Навскидку:
- плагин (или кодом) Maintenance Mode - показывает заглушку всем, кроме авторизованного администратора (или всех авторизованных юзеров - зависит от настроек)
- установка пароля через http auth
- разрешение доступа на уровне сервера по IP
- работа сайта по IP сервера вместо реального домена + локальный резолвинг доменного имени через /etc/hosts (на Win тоже есть)
