Na documentação do Wordfence (https://www.wordfence.com/help/firewall/optimizing-the-firewall/#hide-userini-nginx) ele diz para incluir um dos seguintes códigos no arquivo “nginx.conf“:

location ~ ^/\.user\.ini {
deny all;
}

ou:

location ~ ^/wordpress/\.user\.ini {
deny all;
}

Porém algumas coisas não ficam muito claras, a primeira é que essa diretiva deverá ser incluída dentro da seção (ou das seções) server { }, e dependendo da sua instalação, o nginx.conf incorpora os arquivos dos vhosts da pasta /etc/nginx/sites-available, que são os arquivos onde ficam as configurações server{}, portanto é aqui que você deverá incluir a diretiva. Você deverá incluir a diretiva em cada um dos servers que deseja ocultar o aquivo .user.ini.

Outro ponto importante é que os browsers costumam fazer cache das páginas que você visita, então mesmo se você fizer a correção, e reiniciar o nginx devidamente, o seu arquivo ainda vai aparecer como acessível, então meu conselho é fazer os testes com o curl, um simples:

curl https://seusite.com/.user.ini

já vai te dar a resposta que você precisa.